マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開
マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開 マイクロソフトは、ビルド時にそのソフトウェアがどのようなソフトウェア部品から構成されているかを示すデータ「SBOM」を生成してくれるツール「SBOM Tool」を、オープンソースで公開しました。 SBOMによるサプライチェーンリスクの解決 SBOMとはSoftware Bill Of Materialsの頭文字をとったもので、日本語では「ソフトウェア部品表」とされます。あるソフトウェアがどのようなソフトウェア部品によって構成されているのかを示す情報がまとまったデータのことです。 ほとんどのソフトウェアは単独で成立しているわけではなく、多数のライブラリやコンポーネントなどのソフトウェア部品に依存しています。そのなかのいずれかに脆弱性が発見されればドミノ倒しのように他のさまざま
SPDX : すでに世界共通のソフトウェア部品表 (SBOM) およびサプライチェーン セキュリティで使用 - The Linux Foundation
本ブログは、SPDX: It’s Already in Use for Global Software Bill of Materials (SBOM) and Supply Chain Security の参考訳です。 著者 : The Linux Foundation、ディペンダブルシステム担当 VP Kate Stewart Linux Foundationの以前のブログにおいて、LF Supply Chain SecurityのディレクターDavid A. Wheelerは、どのようにすればLinux Foundationコミュニティが構築した一連の機能を使用して、サイバーセキュリティに関する米国大統領令の定めるソフトウェアのサプライチェーン セキュリティ要件に対応できるかについて説明しています。 これらの機能の1つであるSPDXは、ソフトウェア部品表(SBOM)に関する大統領
ソフトウェアサプライチェーンのセキュリティ向上へ--Linux Foundationらが発表した署名サービス
海外コメンタリー ソフトウェアサプライチェーンのセキュリティ向上へ--Linux Foundationらが発表した署名サービス Steven J. Vaughan-Nichols （Special to ZDNET.com） 翻訳校正： 石橋啓一郎 2021-03-17 06:30 もし数カ月前に、誰かにITセキュリティに関する最大の心配事を尋ねていたら、さまざまな答えが返ってきただろう。しかしその後、SolarWindsが自社のソフトウェアのサプライチェーンを守ることに致命的に失敗し、一部で「ITのパールハーバー」とも呼ばれるような事態が発生したことで、今では、仕事に真剣に取り組んでいる最高セキュリティ責任者（CSO）や最高情報セキュリティ責任者（CISO）であれば、誰でもソフトウェアサプライチェーンを守ることを最優先の仕事に位置づけている。オープンソースに対するこの要求に応えるために、
SPDX License List | Software Package Data Exchange (SPDX)
SPDX License List The SPDX License List is an integral part of the SPDX Specification. The SPDX License List itself is a list of commonly found licenses and exceptions used in free and open or collaborative software, data, hardware, or documentation. The SPDX License List includes a standardized short identifier, the full name, the license text, and a canonical permanent URL for each license and e
Software Package Data Exchange - Wikipedia
Software Package Data Exchange（SPDX）[2]は、Linux Foundationの傘下のプロジェクトである[3]。SPDXプロジェクトは、組織がソフトウェアライセンスやBills of material（BOM、部品表、ソフトウェア構成表ともいう）に関するメタデータのオープンスタンダードを策定し[4]、関連するフォーマットなどを円滑に利用するためのSPDX のオンラインツールなども整備している。 この仕様・規格[5]の現在のバージョンは2.2で、2022年8月に承認された[6]。またこのSPDXフォーマットの仕様はISO/IEC 5962:2021として 2021年に国際標準化された[7]。 SPDXは、ソフトウェアがライセンスを曖昧さなく判別できるようにSPDX-Identifierを定義している[8]。また、ライセンスをタイプ別に分類しようとはしておら
工数の削減と属人性を排除した脆弱性管理を実現 - 株式会社システムインテグレータ | yamory Blog
yamory を導入いただいている株式会社システムインテグレータ様に、導入の経緯や活用状況について、お話を伺いました。
プログラム｜SCIS2020 暗号と情報セキュリティシンポジウム
通信上で情報をやり取りするとき、その情報の安全性を確保するために公開鍵暗号方式が利用されている。公開鍵暗号方式の中でも特に証明可能安全性を持つ暗号方式が広く利用されているが、それらの暗号方式の構成と安全性証明は複雑なものとなっており、暗号理論をあまり学んでいない人には理解しづらく、一般の人にとって暗号方式を正確かつ安全に実装することは難しい。 花岡ら(ICS'08)や山田ら(Provsec'10)はそのような暗号理論をこれから学ぶ人へ向けて暗号方式の構成や安全性証明が比較的単純な暗号方式を提案した。しかしながら、山田らが提案した暗号方式YHKの安全性証明において複雑な性質をもった関数を利用しており、一部複雑なものとなっている。本研究ではCashら(EUROCRYPT'08)によって提案されたStrong Twin DDH仮定を拡張した新たな仮定を用い、山田らが提案したIND-CCA安全な暗
ソフトウェア品質とセキュリティ品質の温故知新――先人たちの築いた指標に学ぶ脆弱性対策【デブサミ2021】
脆弱性を管理するためにはSBOMが有効 SQuBOKやBSIの設立背景や目的を語った後、松岡氏は「体系的な知識や仕組みを用いてソフトウェアの品質を管理していくことは非常に重要」と述べる。そのうえで、脆弱性を管理するためにはSBOM （Software bill of materials：ソフトウェア部品表）を用いることが有効なのではないか、というアイデアを示した。 SBOMはコードベースに存在するすべてのオープンソースおよびサードパーティ・コンポーネントの一覧のことだ。SBOMには各コンポーネントのライセンスの種別や、コードベースで使用されるコンポーネントのバージョン、それらのパッチの提供状況も記述される。 SBOMを保守することで、ソフトウェアを構成するソースコードが高品質かつ定められた規格や規制に準拠しており、安全であることを保証できる。このように、ソフトウェアがどのような要素から構成
ソフトウェア構成管理基礎講座
「ソフトウェア構成管理」（以降SCMと称します）は、CMMやソフトウェアプロダクトラインにおいて、ソフトウェア開発全体を支える基盤となるプロセスとして位置付けられており、その重要性が広く認知されてきています。そして既に多くの開発現場にSCMツールやプロセスが導入されています。 ところがここ数年、SCMの改善に関するコンサルティングの依頼が増えてきています。原因としては、以下のような要請からSCMが複雑化していることが挙げられます。 複数機種、複数仕向けといった多くのバリエーションの並行開発 ソースコードやドキュメントの組織的な共有化 開発拠点の分散化 etc... 上のような課題を解決するために、高機能なSCMツールを購入し、それに合わせてプロセスを修正するといった改善活動がよく行われますが、期待した効果が得られていないケースが多く見受けられます。結果として、購入したツールの一部の機能だけ
DevOps時代の開発者のための構成管理入門
「DevOps」という言葉にもあるように、ソフトウェア構成管理は、インフラ運用に取り入れられるなど、変わりつつある時代だ。本連載では、そのトレンドにフォーカスして、現在のソフトウェア開発に有効な構成管理のノウハウをお伝えする ソフトウェア開発で構成管理が重要になった5つの理由 DevOps時代の開発者のための構成管理入門（1） 開発と運用の協力を目指す「DevOps」含め、いまの構成管理を取り巻くトレンドや、その必要性などを5つの項目で解説する
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
NTIA Releases Minimum Elements for a Software Bill of Materials | National Telecommunications and Information Administration
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/002_03_00.pdf
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/pdf/005_08_00.pdf
クラウド型ソフトウェア資産管理（SAM）｜SMART@SAM - サイバネットシステム
SPDX license identifiers ってなんだ。 | クラウド・AWSのIT技術者向けブログ SKYARCH BROADCASTING
Action
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/pdf/001_04_00.pdf
[PDF]OSS の利活用及びそのセキュリティ確保に向けた管理手法に関する事例集
Webセミナー | Synopsys
ソフトウェア構成管理入門
