はじめに

企業や組織のソフトウェアサプライチェーンには、ソフトウェアの開発や配布、運用までの一連の流れに関わるコード、ツール、プロセス、人、組織全体のあらゆる要素が含まれます。

昨今のソフトウェアサプライチェーンは益々複雑な構造になっており、この複雑な構造間をついた不備がセキュリティ脅威の潜在的な侵入経路となり大規模な被害を引き起こすことが問題となっています。

ガートナー社の最新の調査によると、ソフトウェアサプライチェーン全体の可視性と保護を欠いた企業において、ソースコード、ツール、オープンソースコンポーネント、開発プロセスなどを標的とした攻撃が大幅に増加しているといいます。そのため2023年4月までの12か月間で、米国企業のほぼ3分の2（61%）がソフトウェアサプライチェーン攻撃の直接的な被害を受けたとしています。

1. すべてのオープンソースパッケージを初期段階で管理・選別

現代のソフトウェア開発においてOSS（オープンソースソフトウェア）の利用は一般的となりましたが、活用の利点を享受する一方で、セキュリティ、コンプライアンス、品質を確保する必要があります。そのためには利用するOSSを徹底して管理・選別する必要があるのです。

2. SDLCの各段階で一貫したセキュリティ対策を実施

ソフトウェアサプライチェーンを安全に保護するには、SDLC（ソフトウェア開発ライフサイクル）の全フェーズで一貫したセキュリティを適用することが極めて重要です。これは、 シフトレフト（Shift Left）による予防処置と、シフトライト（Shift-right）による対応処置の両方を適用することを意味します。

3. DevOpsとSecOpsの緊密な連携を促進する

ソフトウェアサプライチェーンを真に強化するには、DevOpsチームとセキュリティチーム間の摩擦を排除し、協働ワークフロー環境を構築する必要があります。

まとめ

ソフトウェアサプライチェーンへの攻撃とそれに伴うコストは深刻化が予測されます。JFrogを導入することで、急増するオープンソースパッケージへの対応や修正の優先順位付けを効率化し、開発者の生産性を維持しながら強固なセキュリティを実現できます。