ソフトウェア・サプライチェーン
From Wikipedia, the free encyclopedia
ソフトウェア・サプライチェーン（英語：Software Supply Chain）は、ソフトウェアの成果物を開発、構築、公開するために使用されるコンポーネント、ライブラリ、ツール、プロセスで構成される[1]
ソフトウェア・ベンダーは、オープンソースや商用ソフトウェアのコンポーネントを組み合わせて製品を作成することが多い。ソフトウェア部品表[2] (SBOM) は、ソフトウェアアプリケーションのようなソフトウェア成果物を構築するために使用されるコンポーネントの目録を公表する。[3] アレルギー, を引き起こす可能性のある食品を避けるためにラベルを参照するように、SBOMは、組織または個人に害を及ぼす可能性のあるソフトウェアの使用を避けるのに役立てることができる。
BOMの概念は、サプライチェーン・マネジメントの一環として、従来の製造業で定着している。[4] メーカーはBOMを使用して、製品を作るために使用する部品を追跡する。後から特定の部品に欠陥が見つかった場合、BOMを使えば、影響を受けた製品を簡単に見つけることができる。
SBOMは、ソフトウェア製品の構築者（製造者）と購入者（顧客）の両方にとって有用である。構築者は、製品を作成するために、利用可能なオープンソースやサードパーティのソフトウェアコンポーネントを活用することが多い。SBOMにより、構築者は、それらのコンポーネントが最新であることを確認し、新しい脆弱性に迅速に対応することができる。[5] 購入者は、SBOMを利用して脆弱性 や利用許諾の分析を行うことができ、どちらも製品のリスク評価に使える。
多くの企業が一般的な部品表管理にスプレッドシートを使用しているが、スプレッドシートに書き込まれたSBOMにはさらなるリスクと問題がある。SBOMは、他のオートメーションシステムの一部となり、他のアプリケーションから簡単に照会できるリポジトリにまとめて保存されると、より大きな価値を得る。自動化されたSBOM処理のためのこのニーズは、Software Package Data Exchange (SPDX) オープンスタンダードにより処理される。
ソフトウェアのサプライチェーンを理解し、SBOMを入手し、これを用いて既知の脆弱性を分析することは、リスクマネージメントにおいて極めて重要である。[6][7][8]