ニュース
» 2023年12月20日 10時00分 公開

激増するOSSのセキュリティ対策を、SBOMと脆弱性情報の管理基盤を提供開始製造ITニュース

日立ソリューションズはSBOM情報やソフトウェアの脆弱性情報を一元管理する「SBOM管理サービス」を提供開始した。

[池谷翼MONOist]

 日立ソリューションズは2023年12月13日、SBOM(ソフトウェア部品表)情報やソフトウェアの脆弱性情報を一元管理する「SBOM管理サービス」を提供開始した。オープンソースソフトウェア(OSS)の脆弱性情報の共有や管理に関わる業務を効率化する。

SBOMと脆弱性情報のひも付けを効率化

 SBOM管理サービスは、企業のSBOMを蓄積、分析、管理するためのプラットフォームを提供するものだ。日立ソリューションズは同サービスの機能ロードマップを4段階で考えており、今回、提供を開始したのは1段階目の「脆弱性の共有と管理の自動化」に関わる部分となる。

 特徴として、公開された脆弱性情報を自動的に収集して、ソフトウェアに影響を与え得る脆弱性を検出し、深刻度や対応ステータスなどの項目を使って管理できる点が挙げられる。ソフトウェアのコンポーネントと脆弱性情報のひも付けに用いるCPE識別子を自動的に引き当てることで、脆弱性情報の検知もれを防ぐ。

SBOM管理サービスの概要[クリックして拡大] 出所:日立ソリューションズ

 従来はSBOMに登録されたコンポーネントの名前やバージョン情報に表記ゆれなどがあると、CPE識別子を介して機械的に脆弱性情報をひも付けることが難しかった。そのため工数がかかる点が課題だったが、日立製作所が持つソフトウェア脆弱性検知技術を活用することでこれを解決した。

CPE識別子の引き当てを自動化[クリックして拡大] 出所:日立ソリューションズ

 各コンポーネントにCPE識別子を引き当てた後は、脆弱性監視を定期的に自動実行する。検出された脆弱性情報は、その詳細をダッシュボード上で確認できるようになる。SaaS(Software as a Service)形式のクラウドサービスのため、こうした情報を共通のプラットフォームを使い、サプライチェーンの組織間で共有することも可能だ。

脆弱性情報を組織間で共有することも可能[クリックして拡大] 出所:日立ソリューションズ

 日立ソリューションズでは機能ロードマップにのっとり、SBOM管理サービスに順次、機能追加をしていく計画だ。2段階目ではOSSライセンスの管理や解釈の支援機能を強化し、3段階目では組織がOSS活用で満たすべきコンプライアンス要件の国際標準「ISO/IEC 5230」やOSSガイドラインに対応した管理機能の搭載、4段階目では組織内のOSSの活用推進を担う「OSPO(Open Source Program Office)」の活動を支援する機能の提供をそれぞれ予定している。

機能は順次拡充していく計画だ[クリックして拡大] 出所:日立ソリューションズ

 SBOM管理において日立ソリューションズが持つ独自の強みについて、日立ソリューションズ ITプラットフォーム事業部 デジタルアクセラレーション本部の渡邊歩氏は「日立ソリューションズはSBOMとOSSの管理に関するコンサルティングサービスを長く提供してきており、ベストプラクティクスやノウハウを多く蓄積している。大手自動車企業など製造業を中心に60社以上のSBOM導入支援を手掛けてきた実績がある」と説明した。

なぜSBOMの重要性が高まっているのか

 近年の製造業では、自動車や家電製品などに代表されるように、ソフトウェアを活用したモノづくりの重要性が増している。この中でOSSは、ソフトウェア開発のサイクルスピードを加速させる上で欠かせない役割を果たす。誰もが利用できる高品質なプログラムを適切に使用すれば、開発効率の向上が望めるからだ。

 ただ、OSSを活用することで課題も生じ得る。その1つがソフトウェア構成のブラックボックス化だ。渡邊氏は「いまや1製品当たり、数百から数万個ものOSSを活用している例も少なくない。1つのOSSがまた別のOSSを内包していることもあり、多段階かつ複雑な構成になっている。1つの製品を構成するOSSの全体を把握することが非常に困難だ」と指摘する。こうした状況では、OSSの脆弱性を突いたサイバー攻撃への対応が遅れ、ソフトウェアのサプライチェーン全体がセキュリティリスクに直面しかねない。

脆弱性情報を組織間で共有することも可能[クリックして拡大] 出所:日立ソリューションズ

 こうした背景から世界的に注目度が増しているのがSBOMだ。ソフトウェアを構成するコンポーネントやサプライヤーの情報を一覧にして可視化することで、効果的なリスク対策になる。現在、自動車や医療機器、通信、インフラ向けの産業用制御システムなどを展開する業界でSBOMの活用が進んでいるという。

⇒その他の「製造ITニュース」の記事はこちら

Copyright © ITmedia, Inc. All Rights Reserved.