公共分野の組織と、連携するすべての組織は、どのようなソフトウェアが使われているのかを、よりよく把握する必要がある。2022年10月に、米陸軍の調達部門は、ソフトウェアとネットワークをベースにした攻撃を防ぐために、大きな変化をもたらす可能性のある小さな一歩を踏み出した。関する情報提供を求めるものである。単純な形として、ソフトウェア部品表は、アプリケーションやシステムを構成する材料のリストに相当する。最近のソフトウェアの多くは、オープンソースのリポジトリや、ライセンスされたサードパーティのコンポーネントなどの、他から取得した部品を含んでいる。これらの出処の概要を明示的に示し、ソフトウェア・システム全体の起源/脆弱性/リスクを、購入者/運用者/防御者が評価できるようにするものだ。単なるリスト以上のものを提供できる。組織による重要な情報の発見や、ソフトウェア内のコンポーネントの調査、バージョン履歴の確認にも役立つ。このような情報と、それを取り巻くルールは、ネットワーク防御にとって極めて重要である。他所から取り込んできたコードの塊に関連するリスクを明らかにすることで、予定外の作業を減らし、コンポーネントの脆弱性を自動的に監視し、ソフトウェアのリリース前にセキュリティ基準を満たしていることを確認できる。継続的に更新する必要がある。理論的には、それを手動で行うことも可能だが、遅延することなく、法外なコストを掛けずに行うには、自動化が唯一の現実的な方法になるだろう。新しいプログラムやプロジェクトでは、最初から自動アップデートのサポートを組み込む必要がある。変更に対応しないままリリースされ、新しいコンポーネントが押し出されると、その有効性と適応性が低下する危険性が生じる。標準化され読みやすい形式で、出力されるように構築されるべきである。脆弱性について警告を発し、修正を提案するダッシュボードから、人間もコンピュータも簡単に洞察を得られるようになる。開発者と運用者は、次に何をすべきかをトレーニングする必要がある。各省庁が、さまざまなツールやソフトウェアを使用することで、データの共有や交換プロセスに影響が生じる可能性がある。成功するかどうかは、プロセスをいかに標準化するかということに、大きく依存する。適切な技術を導入する際にはトレーニングが必要であるが、単なる1つの課題として捉えるべきだ。作成方法/内容/効果的な使用方法について、現在も学び続けている。幅広い採用を支援するための要件が、現時点では確立されていない。価値を見過ごすべきではない。機能により、ユーザーに脆弱性許容リストの作成を促すことができる。この機能は、信頼できるファイル/アプリケーション/プロセスのみを受け入れることで、セキュリティ攻撃を減らし、ノイズを制限し、重要な問題に対処するための余裕を生み出す。この機能により、検証されていないソースからコードが引き出されたときに生じる、未知の脆弱性を特定し、リスクを評価し、軽減し、アプリケーションの購入者/開発者に対して、さらなる透明性を提供できるようになる。最近の政策変更と大統領令により、防衛コミュニティ全体のセキュリティの重要性が高まり、リーダーたちはサプライチェーンのセキュリティ評価を、強化する方向へと動き始めた。効果的に導入され、機能やワークフローに組み込まれることで、セキュリティと効率の向上を目指す、業界全体のシフトをサポートされるだろう。持つ力を認識していることを示している。他のリーダーも、これに倣うべきだろう。導入ですが、まだ時間が掛かりそうです。機運が高まっているようであり、それが民間へも波及するのかと期待させてくれます。対応を開始しています。検索も、ご利用ください。