ソフトウェア透明性 攻撃ベクトルを知り、脆弱性と戦うための最新知識

Chris Hughes(著者), Tony Turner(著者), Allan Friedman(著者), Steve Springett(著者), NRIセキュアテクノロジーズ(訳者)

• 販売会社／発売会社: 翔泳社
• 発売年月日: 2024/12/23
• JAN: 9784798187969

商品レビュー

2026/01/16

ソフトウェアサプライチェーンセキュリティの、背景、対応状況が記載されてます。
数ページ飛ばしちゃいました。
ちょっと長いし、難しい。小説みたいにストーリーに流れがある訳じゃないし。分厚いから電車では読まなかったし。
ということで、2ヶ月間くらいかかって読み終えた。

2025/09/07

2020年 SolarWinds Orion Platform の侵害、2021年の Log4Shell 脆弱性と、ソフトウェア・サプライチェイン・セキュリティと言われる分野が大盛り上がりで、日本でも「SBOM がー」とかつぶやく人が増えてきている今日このごろ。この本は、そんな盛り上がりの中、2023年に刊行、24年12月に邦訳されている一冊で、SSS のリスク紹介に始まり、米国政府関係機関(NIST や NTIA、CISA、DoD など)や各種研究団体(SEI や MITRE など)、業界団体(OWASP、OpenSSF など)、ビッグテック(Microsoft、Google など)など諸団体の取り組みや、産業用機器なども含めたソフトウェア・サプライチェインの現状と課題、推奨事項などを概観する。紹介されるガイダンスやフレームワークだけ見てみても、OWASP SCVS、CIS SSSガイド、Microsoft の S2C2F、NIST SSDF などなど、アルファベット・スープにどっぷりで、いずれも概要の紹介に留まるため、この本だけでそのいずれかを理解するのは無理。脆弱性情報一つとっても CVSS が回らなくなってきていて、VEX などリスクベースの指標に起き替わりつつあることや、SBOM フォーマットも LinuxFoundation 主導の SPDX と OWASP 主導の CycloneDX が混在しているなど、脅威がすでに具現化されているわりに、まだまだこれといった印象のソフトウェア・サプライチェーン業界である。