新しい連邦政府のソフトウェア セキュリティ義務を理解し、それを満たす: 実践ガイド
連邦政府のソフトウェアセキュリティの状況は大きな変化を遂げています。2025年XNUMX月、ホワイトハウスは新たな 大統領命令 連邦政府機関が使用するサードパーティ ソフトウェア サプライ チェーンのセキュリティと透明性の強化に重点を置いています。この義務により、特にコンプライアンスの厳しい期限を考慮すると、ソフトウェア プロバイダーが理解して準備する必要がある重要な変更が導入されます。
背景: なぜ今なのか?
近年、脆弱性を悪用した一連の壊滅的なサイバー攻撃が発生しています。 ソフトウェアサプライチェーンSolarWinds の侵害、3CX 攻撃、Codecov の悪用、Log4Shell の脆弱性は、境界防御と事後のインシデント対応を中心とした従来のセキュリティ モデルがもはや十分ではないことを示しています。攻撃者は現在、ソフトウェア開発ライフサイクル自体を標的にしており、ソフトウェアがエンド ユーザーに届く前に悪意のあるコードを植え付けたり、脆弱性を悪用したりしています。
サードパーティのソフトウェア コンポーネントや市販のソリューションへの依存度が高まったことにより、政府システムの潜在的な攻撃対象領域が拡大しました。ソフトウェア サプライ チェーンの複雑さが増すにつれ、開発プロセス全体を通じて可視性、説明責任、セキュリティ対策を強化する緊急の必要性が生じています。
新しい要件を理解する
2025 年の大統領令は、以前の指令、特に 14028 年の大統領令 2021 を基盤としていますが、いくつかの重要な革新が導入されています。
- 機械読み取り可能な証明書。 一般的な文書を受け入れていた以前の要件とは異なり、新しい義務では、安全なソフトウェア開発手法の標準化された機械可読な証明書が求められます。これらは連邦システムによって自動的に取り込まれ、検証される必要があり、自動化されたコンプライアンス検証への大きな転換を表しています。ソフトウェア プロバイダーは、NIST 800-218 や OWASP などの公認セキュリティ フレームワークへの準拠を、自動化された機関レビューを可能にする形式で実証する必要があります。
- 統合証拠エコシステムEO では、機械可読な証明書で行われた主張の証拠として、高レベルの成果物を義務付けています。これにより、明示された実践と実際の証拠の間の整合性が強化され、プロバイダーはセキュリティ対策の包括的な文書を維持する必要があります。これらの成果物には、次のものを含める必要があります。
- 安全な開発プロセスの人間が読める要約
- 監査証明書または独立した評価（特に重要なソフトウェアの場合）
- への参照 ソフトウェア部品表 (SBOM)
- 各コードコンポーネントのソースと貢献者を証明するドキュメント
- セキュリティテストとコードレビューからの検証ログ
- 連邦民間行政部門 (FCEB) 機関の可視性。 ソフトウェア プロバイダーは、バージョンの詳細を含む、自社の製品とサービスを使用している FCEB 機関の最新リストを維持する必要があります。これにより、連邦政府機関全体で調整された脆弱性報告とパッチの展開が保証されます。透明性を維持しながら、プロバイダーは機密の調達情報を不正な公開から保護し、これらの詳細を認可された連邦政府機関と共有するための安全な方法を実装する必要があります。
- 自動化された脆弱性管理。 新しい義務では、脆弱性への対応に厳しいタイムラインが設定されています。プロバイダーは次の義務を負います。
- 継続的な自動セキュリティスキャンを実行する
- 重大な脆弱性を加速された時間枠（例：48 時間）内で修正する
- 更新されたコードの明確な保管チェーンを維持する
- セキュリティ問題を機関にほぼリアルタイムで通知する
- 認証システムを通じてすべてのパッチを文書化し検証する
- セキュリティ上の欠陥を検出するための自動化ツールを実装する
コンプライアンスの重要なタイムライン
この大統領令は、ソフトウェア プロバイダーが準備する必要がある厳格なタイムラインを定めています。
- 60日以内: 行政管理予算局（OMB）、NIST、CISAは、認証フォーマットと最低要件に関する包括的なガイダンスを提供します。
- 180日後: すべての新しい連邦政府のソフトウェア調達には、機械可読なSDLC証明書を含める必要があり、既存のベンダーは高レベルの成果物と初期のFCEB顧客リストを作成する必要があります。
- 365日後: 政府機関は非準拠ソフトウェアを段階的に廃止する必要があり、第三者による監査が開始される。
ソフトウェア開発への影響
この義務により、組織が連邦政府で使用するソフトウェア開発に取り組む方法が根本的に変わります。開発チームには次のことが必要になります。
- CI/CDパイプライン全体にセキュリティ制御とチェックを統合する
- 証明書の生成と管理のための新しいツールとプロセスを実装する
- 依存関係の追跡と検証に対する体系的なアプローチを確立する
- コンプライアンス文書の自動ワークフローを作成する
- 迅速なセキュリティ対応とパッチ展開のための機能を開発する
コンプライアンス違反の結果
ソフトウェア プロバイダーにとって、リスクは大きいです。コンプライアンス違反は次のような結果を招く可能性があります。
- 既存の連邦政府契約の即時停止または終了
- 今後の調達の資格喪失
- 虚偽請求法に基づく潜在的な法的および金銭的罰則
- 公開コンプライアンスダッシュボードを通じて評判のダメージが可視化される
- 政府と民間部門の顧客からの信頼の喪失
- 今後の連邦政府調達プロセスにおける監視の強化
成功への準備
これらの要件を満たすには、組織は次の点に重点を置く必要があります。
- 開発パイプライン全体にわたるセキュリティチェックと証拠収集の自動化
- トレーサビリティを確保するためにビルド成果物の暗号署名を実装する
- 定期的な監査による継続的なコンプライアンス監視の確立
- リアルタイムの脆弱性開示とパッチ管理のためのシステムの構築
- FCEB顧客リストとバージョン追跡を維持するための明確なプロセスの開発
- 機械可読な証明書と人間が読める要約の両方を生成する機能を構築する
- 新しいセキュリティ要件と手順について開発チームをトレーニングする
- 資格のある第三者監査人との関係構築
コンプライアンス要件についてさらに詳しく知り、実用的なソリューションについて学びたいですか？包括的な ホワイトペーパー 新しい連邦政府のソフトウェア セキュリティ義務を満たすための詳細な洞察をご覧ください。ホワイト ペーパーには、特定の技術要件、実装戦略、コンプライアンス自動化アプローチ、および全体的なセキュリティ体制を強化しながら継続的なコンプライアンスを維持するための実証済みのソリューションが含まれています。
この義務は、課題であると同時にチャンスでもあります。コンプライアンスには相当の準備が必要ですが、効果的に適応する組織はセキュリティ体制を強化し、連邦市場で有利な立場に立つことができます。鍵となるのは、要件を徹底的に理解し、義務のあらゆる側面に対応する包括的で自動化されたソリューションを実装しながら、開発プロセスの効率性を維持することです。
このコンテンツは、エンドツーエンドのソフトウェア サプライ チェーン セキュリティ ソリューションの大手プロバイダーである Scribe Security によって提供されており、ソフトウェア サプライ チェーン全体のコード成果物とコード開発および配信プロセスに最先端のセキュリティを提供しています。 詳しくはこちら。
関連記事
