サプライチェーン」という言葉は、物理的な商品や製造の領域を超えて拡大し、現在ではソフトウェア開発の開始から配布までのライフサイクル全体を包含しています。テクノロジーが進化を続け、私たちの生活のあらゆる側面に溶け込むにつれ、ソフトウェアのサプライチェーンセキュリティの必要性はこれまで以上に重要になっています。
この包括的なガイドでは、ソフトウェアのサプライチェーンを保護することの重要性、その最大の脅威、そして組織を保護するための強固なテスト計画の策定方法について説明します。
目次
1. ソフトウェア サプライ チェーン セキュリティとは何ですか?
2.なぜソフトウェアサプライチェーンのセキュリティ確保が 重要なのか？
3. ソフトウェア サプライ チェーンに対する最大のセキュリティ脅威
7.Software Bill of Materials (SBOM)
1. ソフトウェア サプライ チェーン セキュリティとは何ですか?
Software サプライチェーン・セキュリティとは、設計・開発から配備・保守に至るまで、ソフトウェア製品のライフサイクル全体を保護するための戦略、プロセス、統制を実施することを指します。
これは、ソフトウェアと、ソースコード、サードパーティライブラリ、インフラストラクチャなどの関連コンポーネントを、潜在的な脆弱性、脅威、攻撃から保護することを目的としています。これには、ソフトウェア開発プロセスの安全確保、サードパーティ・ベンダーの信頼性の確保、継続的な監視と脆弱性管理技術の実装が含まれます。
ソフトウェアのサプライチェーンセキュリティを優先することで、企業はサプライチェーン攻撃のリスクを軽減し、デジタル資産を保護し、重要な規制に準拠し、ソフトウェア製品の完全性、機密性、可用性を維持することができます。
2.なぜSoftware Supply Chain セキュリティが重要なのか？
最近発生した3CXの侵害では、2つのサプライチェーン攻撃が連携して行われたことが判明し、驚異の深刻さが増していることが改めて示されました。ソフトウェア・サプライチェーンのセキュリティは、包括的で多層防御のサイバーセキュリティ・ソリューションの一側面ではありますが、いくつかの理由から極めて重要であります。
高まるサイバーセキュリティの脅威
サイバー犯罪者がより洗練され組織化されるにつれ、ソフトウェア・サプライ・チェーン攻撃の可能性は飛躍的に高まっています。このような攻撃は、標的となるソフトウェアだけでなく、接続されているシステムやユーザーをも危険にさらす可能性があり、広範な混乱と経済的損失につながります。
サードパーティ製部品への依存の高まり
最近のソフトウェア開発では、サードパーティのライブラリやフレームワーク、サービスを利用することがよくあります。これらのコンポーネントは、効率を向上させることができる一方で、潜在的な脆弱性をもたらす可能性があり、ソフトウェア全体のセキュリティを確保するために対処する必要があります。
コンプライアンス要件への対応
North American Electric Reliability Corporation Critical Infrastructure Protection (NERC-CIP) や National Institute of Standards and Technology (NIST) などの規制機関は、サイバーセキュリティに厳しい要件を課しています。ソフトウェア・サプライチェーンのセキュリティを確保することは、これらの規制を満たし、費用のかかる罰則を回避するために不可欠です。
3. ソフトウェア サプライ チェーンに対する最大のセキュリティ脅威
ソフトウェア・サプライチェーンは複雑な課題であり、それに伴い、関連するサイバー脅威の手法も多岐に渡ります。ソフトウェア・サプライチェーンに対する最も一般的なセキュリティ脅威には、以下のようなものがあります。
悪意のあるコードの挿入
攻撃者は、バックドア、ランサムウェア、データ流出メカニズムなどの悪意のあるコードを挿入することで、ソフトウェアを危険にさらすことができます。
脆弱なサードパーティ製コンポーネント
古い、または安全でないサードパーティのライブラリ、フレームワーク、またはサービスを使用すると、攻撃者が不正アクセスや悪意のあるアクションを実行するために悪用できる脆弱性が発生する可能性があります。
インサイダーの脅威
機密情報やシステムにアクセスできる従業員や請負業者の不満は、ソフトウェアのサプライチェーンに重大な脅威をもたらす可能性があります。
偽造部品
偽造ソフトウェア・コンポーネントは、悪意を持って作成されたものであれ、知らずに配布されたものであれ、ソフトウェア・サプライ・チェーン全体の完全性を損なう可能性があります。
4. サプライチェーン攻撃の仕組み
すべてのサイバー攻撃は、その現れ方は様々であるが、サプライチェーン攻撃は通常、次のようなステップを踏む：
- ターゲットの特定： 攻撃者は、サードパーティのライブラリや開発ツールなど、ソフトウェアサプライチェーン内の脆弱なコンポーネントを特定する。
- 悪用：攻撃者は、悪意のあるコードを挿入するか、既存の欠陥を利用して不正アクセスを行うことにより、特定された脆弱性を悪用する。
- 伝播： 侵害されたコンポーネントが、直接、またはアップデート、パッチ、その他の手段を通じて、他のシステムやユーザーに配布される。
- 実行： 悪意のあるコンポーネントが標的のソフトウェアに組み込まれると、攻撃者はデータの窃取、業務の妨害、身代金の要求など、意図した行動を実行できるようになります。
5. ソフトウェア サプライ チェーンのリスク管理に関する重要なヒント
ソフトウェア・サプライチェーン攻撃のリスクを軽減するために、組織は以下のベストプラクティスを採用すべきです。
徹底したデューデリジェンスの実施
サードパーティベンダーとそのソフトウェアコンポーネントのセ キュリティとコンプライアンスを精査します。ベンダーが業界標準のベストプラクティスに従い、最新のセキュリティパッチを維持していることを確認します。
脆弱性を継続的に監視する
ソフトウェアコンポーネントの既知の脆弱性を定期的にスキャンし、セキュリティパッチを速やかに適用します。
強力なアクセス制御の導入
機密性の高いシステムや情報へのアクセスを、必要な人だけに制限します。多要素認証（MFA）を導入し、強固なパスワードポリシーを実施します。
従業員の教育
サイバーセキュリティのベストプラクティスとソフトウェアサプライチェーンセキュリティの重要性について従業員を教育します。
インシデント対応計画の策定
ソフトウェアサプライチェーン攻撃の検知、封じ込め、回復のための計画を策定する。
日立エネルギーがサプライチェーンのサイバーセキュリティ戦略をどのように成功させているかをご覧ください。
6.Software セキュリティ・テスト計画の策定方法
サイバーセキュリティに対する積極的なアプローチは、ソリューション戦略を構築する際に単に検討するものではなく、必要不可欠なものです。プロアクティブな措置を講じる方法の一つは、定期的なセキュリティテスト計画を立てることなあります。セキュリティテスト計画は、潜在的な脆弱性を特定し、ソフトウェア製品の全体的なセキュリティを確保するために不可欠です。これらの手順は、効果的なセキュリティテスト計画を策定するための指針になります：
- スコープを定義する： どのコンポーネント、システム、環境をテストプロセスに含めるかを決定する。
- 潜在的な脅威と脆弱性を特定する： 徹底的なリスク評価を実施し、潜在的な脅威、脆弱性、攻撃ベクトルを特定する。
- テストケースを作成する： 特定された各脅威や脆弱性に対応するテストケースを作成する。これには、侵入テスト、脆弱性スキャン、コードレビュー、静的・動的解析などが含まれる。
- 役割と責任を割り当てる： セキュリティテストプロセスに関与する各チームメンバの役割と責任を明確に定義する。
- テストスケジュールの策定 セキュリティテストの実施スケジュールを策定し、それらがソフトウ ェア開発ライフサイクル全体に組み込まれるようにする。
- 結果の文書化と報告 特定された脆弱性や実施した是正措置を含め、各セキュリティテストの結果を記録する。この情報を関連利害関係者と共有し、透明性と説明責任を確保する。
7.Software Bill of Materials (SBOM)）の重要性
Software Bill of Materials (SBOM)は、サプライチェーンのサイバーセキュリティにおいて重要な役割を果たすものです。SBOMは、ソフトウェア製品を構成するすべてのソフトウェアコンポーネントと依存関係の包括的なリストになります。これは、組織が自社の製品やシステムで使用されているソフトウェア・コンポーネントを特定し、そのバージョン、ライセンス情報、既知の脆弱性などを追跡するのに役立ちます。
SBOM を使用することで、企業はソフトウェア・サプライチェーンを効果的に管理し、ソフトウェア・コンポーネントとそれに関連するリスクを完全に可視化することができます。これにより、ソフトウェア・サプライチェーンの脆弱性を特定して緩和し、サイバー攻撃やサプライチェーン侵害のリスクを低減することができます。さらに、SBOM は、組織がセキュリティポリシーを実施し、規制や標準に準拠し、全体的なサイバーセキュリティ態勢を改善するのに役立ちます。
8. ソフトウェア サプライ チェーン セキュリティの将来
日進月歩の技術の世界では、時代の最先端を走り続けるために、未来がどうなるかを常に見据えておく必要があります。ソフトウェア・サプライチェーンのセキュリティの将来は、いくつかの重要な要因やトレンドによって形作られる可能性が高いです。
AIと機械学習の統合
人工知能（AI）と機械学習（ML）技術は、ソフトウェア・サプライ・チェーンのセキュリティを向上させる計り知れない可能性を秘めています。これらの技術を活用することで、組織は潜在的な脅威や脆弱性をより的確に検出して緩和し、セキュリティ・テストを自動化し、インシデント対応を合理化することができます。AIとMLは、ソフトウェア・サプライチェーン内の異常な行動パターンの特定にも役立ち、全体的なセキュリティをさらに強化することができます。
DevSecOpsへの移行
セキュリティ対策のDevOpsプロセスへの統合であるDevSecOpsは、今後も勢いを増していくでしょう。DevSecOpsのアプローチを採用することで、組織は、構想段階からデプロイに至るまでのソフトウェア開発ライフサイクル全体において、セキュリティが中核的な要素となることを確保できます。この移行により、脆弱性の検出と是正が迅速化され、サプライチェーン攻撃のリスクが低減されます。
Supply Chain の透明性への注目が高まる
組織がサードパーティ製コンポーネントに関連する潜在的なリスクに対する認識を深めるにつれ、サプライチェーンの透明性への注目が高まっていくでしょう。ベンダーは、自社のセキュリティ対策、パッチ管理、およびリスク軽減戦略に関する詳細な情報を提供する必要があるでしょう。こうした透明性の向上により、組織はサードパーティ製コンポーネントやサービスを選定する際に、より十分な情報に基づいた意思決定を行えるようになります。
ブロックチェーン技術
ブロックチェーン技術は、ソフトウェアコンポーネントの出所を追跡・検証するための、安全で改ざん防止機能を備え、かつ透明性の高いシステムを提供することで、ソフトウェアのサプライチェーンセキュリティに革命をもたらす可能性を秘めています。ブロックチェーンを活用することで、組織は自社ソフトウェア製品の完全性をより確実に保証し、偽造や悪意のあるコンポーネントの混入を防ぐことができます。
規制監督の強化
脅威の状況が絶えず変化する中、ソフトウェア・サプライチェーンのセキュリティに対する規制監督の強化や要件の厳格化が進むことが予想されます。組織は、NERC-CIPやNISTなどの既存の規制に準拠するとともに、将来導入される可能性のある新たな規制にも対応していく必要があります。これらの規制では、サプライチェーンのリスク管理がより重視されるようになり、組織に対してソフトウェア・サプライチェーンのセキュリティ確保に向けた取り組みを実証することが求められる可能性があります。
協調的な防御
ソフトウェア・サプライチェーンのセキュリティの将来においては、組織、ベンダー、業界団体間の連携がますます重要視されるようになるでしょう。脅威インテリジェンス、ベストプラクティス、リソースを共有することで、組織は新たな脅威に先手を打つことができ、全体的なセキュリティ態勢を強化することができます。組織が協力し合うことで、より安全なソフトウェア・エコシステムを構築し、サプライチェーン攻撃に伴うリスクを軽減することが可能になります。
結論
Software サプライ・チェーンのセキュリティは、組織のデジタル資産を保護し、ソフトウェア製品の完全性、機密性、可用性を確保するために重要な側面となります。
変化に積極的に適応し、適切なソフトウェアを活用してソフトウェアサプライチェーンのセキュリティを優先する組織は、デジタル資産を保護し、顧客やステークホルダーからの信頼を維持し、重要な規制への準拠を継続する上で、より有利な立場に立つことができるでしょう。
Software Supply Chain セキュリティに関するFAQ
Q: ソフトウェア・サプライチェーンのセキュリティとは何ですか？
A:Software サプライチェーンのセキュリティとは、設計・開発から配備・保守に至るまで、ソフトウェア製品のライフサイクル全体を保護するための戦略、プロセス、統制を実施することです。
これは、ソフトウェアと、ソースコード、サードパーティライブラリ、インフラストラクチャなどの関連コンポーネントを、潜在的な脆弱性、脅威、攻撃から保護することを目的としています。これには、ソフトウェア開発プロセスの安全確保、サードパーティ・ベンダーの信頼性の確保、継続的な監視と脆弱性管理技術の実装が含まれます。
Q：サプライチェーン攻撃と従来のサイバー攻撃の違いは何ですか？
A: 従来のサイバー攻撃は通常、組織のシステムやネットワークを直接狙いますが、サプライチェーン攻撃は、ソフトウェアの開発プロセスやサードパーティ製コンポーネントの脆弱性を狙うため、攻撃者は間接的に複数のシステムやユーザーを侵害することができます。
Q: オープンソース・ソフトウェアはプロプライエタリ・ソフトウェアよりも安全ですか？
A: オープンソースソフトウェアは、その透明性により、より広範なピアレビューやコミュニティ主導のセキュリティ改善を可能にし、セキュリティ上の利点を提供することができます。しかし、適切なセキュリティ対策が実施されていない場合、サプライチェーン攻撃に対してより脆弱になる可能性もあります。
Q: クラウドベースのソフトウェア・サプライチェーンのセキュリティを確保するにはどうすればよいでしょうか？
A: 企業は、クラウド・サービス・プロバイダーと緊密に連携し、暗号化、アクセス制御、継続的な監視など、適切なセキュリティ管理が実施されていることを確認する必要があります。また、クラウドベースのソフトウェアのサプライチェーンのセキュリティを検証するために、定期的な監査と評価を実施する必要があります。
Q: アプリケーション・セキュリティとソフトウェア・サプライチェーンのセキュリティの違いは何ですか？
A: アプリケーション・セキュリティは、開発、配備、保守の各段階でセキュリティ対策を実施することにより、コード・インジェクションや不正アクセスなどの潜在的な脅威や脆弱性からソフトウェア・アプリケーションを保護することに重点を置いています。
ソフトウェアサプライチェーンセキュリティは、ソフトウェア開発ライフサイクル全体を包含し、ソフトウェアのコンポーネント、サードパーティライブラリ、インフラストラクチャに関連するリスクに対処します。その目的は、ソフトウェアとその関連コンポーネントの完全性、機密性、可用性を確保し、ソフトウェアのサプライチェーン内の脆弱性を狙った潜在的な攻撃から保護することです。
