最近のアプリケーションは、完全にゼロから作られることはほとんどありません。その代わりに、オープンソースのライブラリ、サードパーティのコード、API、インフラストラクチャー・アズ・コードのテンプレートに大きく依存しています。これはイノベーションを加速させる一方で、新たなリスクももたらします。SolarWinds社やLog4j社など、最近話題になった攻撃は、敵対者がサプライチェーンの弱点を悪用して一度に何千もの組織に侵入する方法を浮き彫りにしています。適切なセーフガードなしでは、企業は次のような問題に直面します：悪意のある、または脆弱なサードパーティコンポーネントにさらされること。危殆化したビルドパイプラインや CI/CDツールによる リスク。 ソフトウェア部品表（SBOM ）に関するコンプライアンス違反。クラウドネイティブ環境とコンテナ環境における攻撃対象の増加。ソフトウェアサプライチェーンセキュリティは、企業がソフトウェアエコシステム全体を可視化し、整合性を検証し、管理を強化するのに役立ちます。

Q: どのように機能するのか？

ソフトウェア・サプライチェーンの安全性を確保 するには、人、プロセス、テクノロジーにわたって何重にも保護する必要があります。主な実践例コンポーネントの可視化：依存関係を追跡するためのSBOMの生成と維持。脆弱性管理：オープンソースやサードパーティのコンポーネントの既知の欠陥をスキャンします。依存関係のガバナンス：リスクのあるパッケージや承認されていないパッケージがコードベースに入るのをブロックします。ビルドの完全性CI/CDパイプラインを改ざんやクレデンシャルの盗難から保護します。ポリシーの実施コンプライアンスや規制基準を満たすためのセキュリティチェックの自動化。継続的なモニタリング：新たな脅威の出現を検知し、対応します。

お問い合わせ関連製品

概要

ソフトウェアサプライチェーンセキュリティとは、ソフトウェア開発と提供のライフサイクルを構成するコンポーネント、ツール、プロセス、サービスを保護することである。オープンソースのライブラリからビルドシステム、デプロイメントパイプラインに至るまで、あらゆる要素が信頼でき、改ざんがなく、コンプライアンスに準拠していることを保証する。

ソフトウェア・サプライチェーンのセキュリティ

なぜソフトウェア・サプライチェーンのセキュリティが重要なのか？

最近のアプリケーションは、完全にゼロから作られることはほとんどない。その代わりに、オープンソースのライブラリ、サードパーティのコード、API、インフラストラクチャー・アズ・コードのテンプレートに大きく依存している。これはイノベーションを加速させる一方で、新たなリスクももたらす。

SolarWindsやLog4jのような最近の有名な攻撃は、敵がサプライチェーンの弱点を悪用して一度に何千もの組織に侵入する方法を強調している。適切な保護措置がなければ、企業は直面する：

悪意のある、あるいは脆弱なサードパーティコンポーネントにさらされる。
危殆化したビルドパイプラインやCI/CDツールによるリスク。
ソフトウェア部品表（SBOM）に関するコンプライアンス違反。
クラウドネイティブ環境とコンテナ環境における攻撃対象の増加。

ソフトウェアサプライチェーンセキュリティは、企業がソフトウェアエコシステム全体を可視化し、完全性を検証し、管理を強化するのに役立ちます。

どのように機能するのか？

ソフトウェア・サプライチェーンの安全性を確保するには、人、プロセス、テクノロジーにわたって何重にも保護する必要がある。

主な実践は以下の通り：

コンポーネントの可視性：依存関係を追跡するためのSBOMの生成と維持。
脆弱性管理：オープンソースやサードパーティのコンポーネントの既知の欠陥をスキャンする。
依存関係のガバナンス：リスクのあるパッケージや承認されていないパッケージがコードベースに入るのをブロックする。
ビルドの完全性：CI/CDパイプラインを改ざんやクレデンシャルの盗難から守る。
ポリシーの実施コンプライアンスや規制基準を満たすためのセキュリティチェックの自動化。
継続的なモニタリング：新たな脅威が出現した場合に、その脅威を検知し対応する。

ソフトウェア・サプライチェーン・セキュリティの利点

透明性：SBOMでアプリケーションの中身を正確に把握。
リスクの低減：脆弱な依存関係や悪意のある依存関係の悪用を防ぐ。
コンプライアンスのサポート：大統領令14028を含む、政府および業界の要件を満たす。
オペレーションの回復力：構築システムとパイプラインの安全性と信頼性を確保する。
事業継続：潜在的な侵害の爆発半径を限定する。
サプライチェーン攻撃の防止悪意のあるコンポーネントを早期に検出し、ビルドパイプラインを侵害から保護することで、脅威にさらされる機会を減らします。
安全なソフトウェアサプライチェーン：依存関係、SBOM、納品プロセスを検証することで、開発のあらゆる段階で信頼性と回復力を確保します。

OpenText Application Securityによるソフトウェアサプライチェーンセキュリティ

OpenTextは、アプリケーションセキュリティプラットフォームの一部として、以下のようなエンタープライズグレードのサプライチェーンセキュリティを提供しています：

ソフトウェア構成分析（SCA）：オープンソースやサードパーティのコードに潜むリスクを特定し、是正する。
SBOM管理：コンプライアンスと透明性のために部品表を作成、追跡、検証します。
リポジトリの保護：リポジトリファイアウォールやアドバンスドリーガルパック（OEM）などのソリューションにより、安全でないコンポーネントをブロックします。
CI/CD統合：自動化されたポリシーチェックとオーケストレーションにより、セキュアなビルドパイプラインを実現します。
AIの増強： OpenText™ Fortify™ Remediation Aviator™を使用することで、ノイズを減らし、ファインディング全体の修復を加速します。

主な収穫

ソフトウェア・サプライチェーンのセキュリティは、開発ライフサイクルにおけるすべてのコンポーネントとプロセスの完全性を保証し、広範で影響力の大きい攻撃からアプリケーションとビジネスを保護します。

Resources

Creating a secure software supply chain you can trust

The need for a software bill of materials

Introducing OpenText Open Source Select

Securing the software supply chain

Increase developer efficiency and policy compliance