SBOM の履歴(No.17)

情報
- 2022年
- 2021年
- 2020年
関連

情報†

2022年†

セキュリティを高める「SBOM」、なぜ利用が進んでいるのか：約8割の組織が2022年に利用を予定 - ＠IT (2022/02/03)

「SBOMはもはや選択肢ではない。今回の調査によると、2022年には78％の組織がSBOMを作成または利用する予定だ」

ソフトウェア部品表「SBOM」に着目、米国FDAの医療機器市販前セキュリティ対策：海外医療技術トレンド（82） - MONOist (2022/04/15)

FDAは、同草案の「V．サイバーセキュリティリスクを管理するための SPDF（セキュア製品開発フレームワーク）利用」の「A．セキュリティリスクマネジメント」において、「2．サードパーティー製ソフトウェアコンポーネント」のサプライチェーンリスクマネジメント支援ツールとして、SBOMを取り上げている。

組み込みソフト開発で重視されるSBOM、BlackBerryが国内パートナーと連携強化：組み込み開発ニュース - MONOist (2022/04/26)

Jarvis 2.0は、ソースコードではなく、バイナリコードを用いてソフトウェア構成解析とセキュリティテストを行えるツールである。ブラックベリー社内での開発に用いられていたツールを外販したもので、組み込みシステム向けに特化していることが特徴となっている。

Linux Foundationが調査レポート「SBOMとサイバーセキュリティへの対応状況」を公開：サイバーセキュリティ戦略の要となるか - ＠IT (2022/05/16)

企業におけるSBOMの準備・採用の度合いと、オープンソースエコシステム全体のサイバーセキュリティの改善に向けたSBOMの重要性について述べているという。

マイクロソフト、ビルド時にソフトウェアの部品表（SBOM）を自動生成する「SBOM Tool」、オープンソースで公開－ Publickey (2022/07/22)
```
マイクロソフトは、ビルド時にそのソフトウェアがどのようなソフトウェア部品から構成されているかを示すデータ「SBOM」を生成してくれるツール「SBOM Tool」を、オープンソースで公開しました。
```
- https://github.com/microsoft/sbom-tool
- コメント：下記のJava（macOS）にて正常に出力されることを確認した。(2022/09/10)
  - https://github.com/jabedhasan21/java-hello-world-with-maven

Githubのサプライチェーン攻撃に対する取り組み｜unknown protocol｜note (2022/07/23)

サプライチェーン攻撃に関してはMicrosoft以外も取り組んでいて、そのうちのひとつであるGithubのブログを読んでみる。

関連：サプライチェーン攻撃

米国では既に標準化の流れ、日本企業も対応を迫られる「SBOM」とは：OSSのサプライチェーン管理、取るべきアクションとは（3） - ＠IT (2022/07/26)
```
ここでは、OSSのサプライチェーン管理に関する連載の3回目として、SBOMを解説する。
```

「単なる文書」で終わらせない SBOM 作成のための処方箋 - 日本シノプシス合同会社 (2022/7)

SBOM を正しく理解していただけるよう、本書ではシノプシスの顧客の間に見られる懸念や混乱についての情報を整理し、その内容をふまえて いくつかの重要な提言をまとめました。SBOM に対する今後の取り組みの軌道修正にご活用ください。

Google Developers Japan: SBOM in Action: 「ソフトウェア部品表」で脆弱性を見つける (2022/08/09)

この記事は Google オープンソース セキュリティ チーム、Brandon Lum、Oliver Chang による Google Security Blog の記事 "SBOM in Action: finding vulnerabilities with a Software Bill of Materials" を元に翻訳・加筆したものです。

SBOMの脆弱性管理がもたらす品質とスピード向上でDevSecOpsを進めよう【デブサミ2022夏】 (1/2)：CodeZine（コードジン） (2022/09/16)
```
テーマはSBOM。最近ではカンファレンスのキーワードで扱われる機会が増えてきている。
```
オープンソース管理のトレンド、ソフトウェア部品表（SBOM）の国際標準化動向 (2022/09/21)
```
本セミナーは、2021年5月に開催された回の再放送となります。
```
- 関連：CISQ, SPDX, CPE, NTIA, C-SCRM, SP800-161, ISO27001, MITRE
Javaで書いた4行のコード、依存関係をたどると51万行に――超複雑化するソフトウェア構成、SBOMで探るには：特集：1P情シスのための脆弱性管理／対策の現実解（3） - ＠IT (2022/09/22)
```
本稿では、＠ITが開催した「＠IT ソフトウェア品質向上セミナー」の基調講演「SBOMによるサプライチェーン攻撃対策 ～自社ソフトウェアのリスク、把握していますか？～」で語られた、OSSの使用に潜むリスクへの対処法について、要約してお届けする。
```
- ＠IT ソフトウェア品質向上セミナー貴社はソフトウェアの全容を把握していますか？知らなかったでは済まされない、ソフトウェア品質に内在する本当のリスク

↑

2021年†

トヨタが推すサイバー対策の新常識「SBOM」、流出するリスクは？ | 日経クロステック（xTECH） (2021/09/10)
```
ここへ来て、2020年12月にSBOMの仕様が国際標準「ISO／IEC 5230」として固まり、普及への期待が高まっている。
```
- OpenChain

自動車サイバー対策、“SBOM”が標準慣行に　ブラックベリー | 日経クロステック（xTECH） (2021/08/11)

Black Duckとの違いについて、「組み込みシステムに最適化している点がJarvis 2.0の大きな特徴だ」（同氏）と説明した

ソフトウェア品質とセキュリティ品質の温故知新――先人たちの築いた指標に学ぶ脆弱性対策【デブサミ2021】 (1/2)：CodeZine（コードジン） (2021/03/15)

Build Security In
BSIはセキュリティに関する知識を形式知化することを目的としている。
SBOM （Software bill of materials：ソフトウェア部品表）
SBOMはコードベースに存在するすべてのオープンソースおよびサードパーティ・コンポーネントの一覧のことだ。

米国国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。: まるちゃんの情報セキュリティ気まぐれ日記 (2021/06/02)
```
興味深い内容です。。。政府は重要なソフトウェアを取得する場合は、サプライヤから SBOM を要求すべきという方向に行きますかね。。。
```

↑

2020年†

ソフトウェアBOM（ソフトウェア部品表）とは何か？ - ソフトウェア・インテグリティ (2020/08/20)

ソフトウェア部品表（ソフトウェアBOM）を使用すると、オープンソースの使用に伴うセキュリティ、ライセンス、および運用上のリスクにすばやく対応できます。

↑

SBOM の履歴(No.17)

情報†

2022年†

2021年†

2020年†

関連†