ソフトウェアサプライチェーンを守るための対策として、SBOMによるソフトウェア部品の把握、DevSecOpsの導入、アクセス権限の厳格な管理、定期的な脆弱性診断の4つが挙げられます。開発から運用までのプロセス全体を見渡し、継続的なチェック体制を整えることが不可欠です。
- SBOMで使用しているソフトウェア部品を把握する
製品に含まれるOSSなどの部品や依存関係を一覧化し、新たな脆弱性が公表された際にも影響範囲を迅速に特定できるようにします。 - DevSecOpsにより開発工程でセキュリティを組み込む
完成直前ではなく、開発の早い段階から各工程でセキュリティチェックを行うことで、問題の早期発見と手戻りの削減を両立します。 - 外部ツールやアカウントのアクセス権限を厳格に管理する
必要最小限の権限のみを付与する「最小権限の原則」を徹底し、認証情報の安全な保管の見直しを行います。 - アプリケーションの脆弱性診断を定期的に実施する
システムの完成時だけでなく、プログラムを更新するたびに継続してチェックする体制を整え、アプリケーションの変更によって生じた脆弱性を早期に発見・対処します。
複雑化するサイバー攻撃からシステムを守るためには、自動化ツールなどを活用し、開発への負担を抑えながら、継続的にセキュリティを高められる仕組みづくりが重要です。
詳しい対策については「ソフトウェアサプライチェーンを守るための対策」をご覧ください。
