2023年という年において、すべてのビジネスにおける重要な役割を、ソフトウェアは担っている。ソフトウェアの構築/導入に携わる組織は、ソフトウェア・サプライチェーンの弱点について、潜在的な攻撃者よりも多くを知ることが絶対的に重要となる。有用性は、標準に準拠すること、コードベース全体を考慮することに加えて、企業規模での相互運用性を可能にする能力を高めることに掛かっている。作成することは、比較的に簡単なことである。生成することは困難である。ソリューションを表現するようにした。無効なセキュリティや、運用上の曖昧な仮定につながる可能性がある。標準化SBOMを普遍的に交換し、自動的に読み取るためには、その交換形式が標準仕様に適合している必要がある。いう2つの標準に収束し始めている。生成した場合に、同じ結果を生成するよう、出力に統一性を確立することにある。これらのフォーマットは、ライセンス/著作権/脆弱性などの特定の情報を含む/含まない、または、リンクする/リンクしないとように、使用ケースや業界垂直ベクターに応じて調整できる。SBOMファイルの構造を記述する規格に過ぎないことに、注意することが重要となる。それらは正確性や包括性に対処するものではない。生成プロセス/ツールが、ファイルにゴミを送り込むと、きれいにフォーマットされたゴミが出力される。大半のソフトウェア・アプリケーションにおける最大の攻撃対象は、オープンソース・コンポーネントで構成されている。占め、それらのコンポーネントは、世界中に偏在する個人により開発されてい。単一のオープンソース・コンポーネントにおける、単一の脆弱性が、世界的に大きな影響を与える可能性があることを示す例である。ほとんどの組織にとって、ソフトウェア・サプライチェーンを保護し、情報インフラを守るための最優先事項の1つとして挙げられるのは、オープンソース・ソフトウェアの脆弱性を迅速に特定し修正することである。インベントリであるというのが、多くの人々の率直な感想である。ソフトウェア・サプライチェーンを構成する他の種類のコードの脆弱性により、組織が危険にさらされる可能性を生み出す。コンポーネントなどの、すべてが包含される。脆弱性はオープンソースだけではなく、あらゆる種類のコードに起因する可能性があるため、このことは極めて重要なことになる。静的なドキュメントである。入手しても、それを検査する以外に何もできないのであれば、その価値は限定的となる。使って何ができるのかと考えることだ。具体的に言うと、相互運用性を確保し、パッチ管理や配備リスクの評価といった、他のライフサイクルリスク管理プロセスに組み込むことが可能になることであり、その全てを企業規模で実現することにある。使って、一般的なチームとして実現できる3つのことについて、つまりマージ/クエリ/モニタリングについて見てみていこう。集約する必要があるだろう。広く使われているソフトウェア・コンポーネントに、新しいゼロデイ脆弱性が発生したケースを考えてほしい。照会して、多数のソフトウェア・アプリケーションの何処に、その特定の脆弱なソフトウェア・コンポーネントが含まれているのかを判断する必要が生じる。調べる必要がある場合だと、技術的な困難さが生じる。照会できることは、相互運用性と効果的なソフトウェア・リスク管理の重要な要素となる。自動的に検査できると効率が良くなる。使用すると、脅威情報/脆弱性管理システムとの統合が可能になる。セキュリティ上の弱点や既知の脆弱性がないことである。規制に準拠したソフトウェアや、安全で改ざんされ難い開発パイプラインなども挙げられる。未知の成分を含むクッキーを、二次汚染の可能性がある工場で製造し、衛生規則に違反するような状況で食べることはあり得ないだろう。このように、ソフトウェア・サプライチェーンが、企業にとって安全であることを保証する必要がある。設置するだけではなく、製造中に行われる多くの安全およびセキュリティ・プロセスや定期的なテストの結果である。言われても、何処から手を付けたら良いのかと、考え込んでしまいますよね。この記事は、標準化/包括性/相互運用性という、3つの柱を建てるところから始めようと主張しています。いまのタイミングで考えられる項目として、分かりやすく整理されていると思えます。どれも簡単ではありませんが、一歩ずつ進めていく必要がありますね。検索も、ご利用ください。