ソフトウェアサプライチェーン攻撃
Software Supply Chain Attack
そふとうぇあさぷらいちぇーんこうげき
ソフトウェアの開発や配布の過程に介入し、正規のソフトウェアやその更新プログラム、利用されているオープンソースのライブラリなどにマルウェアを混入させて、利用者に広く感染させる攻撃。アップデートの配信経路の悪用が代表的で、SBOMによる構成部品の把握や署名の検証で対策する。
Related
関連キーワードの用語
経済安全保障推進法に基づき、電気、ガス、金融、電気通信など国が指定する基幹インフラ事業の事業者（特定社会基盤事業者）が、重要な設備を導入する場合やその維持管理を外部に委託する場合に、事前に国に届け出て審査を受ける制度で、2024年5月に運用が始まった。設備が外部からの妨害行為の手段として使われるおそれが大きいと判断されると、国は導入計画の変更や中止を勧告・命令できる。
業務やシステムの開発・運用、クラウドサービスの利用などを外部に委託する際に、委託先の選定、契約、委託中の監督・評価、委託の終了までを通じてリスクを管理すること。委託しても業務の結果に対する責任は委託元に残るため、委託先や再委託先に起因する情報漏えい、サービスの停止、法令違反などの第三者リスクを評価し、契約で管理策や監査の権利を定める。
サプライチェーンを構成する企業のセキュリティ対策の水準を、★の段階で評価して可視化する制度。経済産業省と国家サイバー統括室が監督し、IPAが運営する。全企業が最低限目指す★3は専門家の確認付きの自己評価、より高い水準の★4は評価機関による第三者評価で、2027年3月に申請の受付を始める予定である（★5は検討中）。
組織が利用するソフトウェアや機器の技術的な脆弱性について、情報の収集、資産の目録との照合による影響の把握、リスクに応じた優先順位付け、修正プログラムの適用や回避策の実施、適用状況の確認を継続的に行う活動。JIS Q 27002の「技術的脆弱性の管理」に当たり、SBOMやCVSSを活用する。
OSSとしてソースコードが公開され、ライセンスの条件の下で誰でも利用・改変できるライブラリ。開発の効率を上げられる一方、ライセンス条件の遵守、脆弱性情報の監視と更新、保守が続いているかの確認が必要で、SBOMで利用状況を管理する。
AIシステムを構成する要素を一覧にした部品表。AIモデルの名称・版・提供元、学習や評価に使ったデータセット、依存するライブラリ、ライセンスなどを記録し、来歴の追跡や脆弱性・ライセンスの管理に使う。SBOMをAIに広げたもので、CycloneDXやSPDX 3.0が記述形式を提供している。