SSDF および SLSA フレームワークへの継続的な準拠を実証する

近年、注目を集めているソフトウェア サプライ チェーン攻撃が組織に重大な損害を与えています。これらの攻撃は、ソフトウェア サプライ チェーン関連のリスクに対処するためのより良いセキュリティ対策の必要性を浮き彫りにしました。その結果、米国政府は新しいサイバー規制と基準を推進しました。これが SLSA と SSDF の誕生です。

これらのフレームワークは、脆弱性管理、コードの整合性、来歴検証、インシデント対応、安全な SDLC プロセスの実施など、幅広い分野をカバーしています。ただし、これらを実装することは、特にリソースが限られている組織にとっては困難な作業になる可能性があります。

NIST SP 800-218 (SSDF) に準拠

SSDF は、SDLC 全体で発生する脆弱性の量と影響を軽減することを目的としています。米国で事業を行っている、または事業を計画しているベンダーは、迅速に対応し、SSDF に準拠する方法を学ぶ必要があります。

SSDF は従うべきチェックリストではなく、安全なソフトウェア開発のためのリスクベースのアプローチを計画および実装するためのロードマップです。これには、透明性の促進と、権限のないユーザーによる改ざんからソフトウェアを保護するための証拠に基づいた戦略の使用が含まれます。

Scribe ユーザーは、証明書に対してポリシーを適用して、安全な開発およびビルド プロセスを確保したり、改ざんが行われていないことを検証したりできるだけでなく、米国の新しいサイバー規制の基礎である SSDF への準拠を評価することもできます。

SLSAフレームワークに準拠する

SLSA ソフトウェアの完全性を保証するセキュリティ管理と標準の包括的なチェックリストです。開発者、組織、企業が安全なソフトウェアを構築して使用する方法について情報に基づいた選択をできるよう支援するだけでなく、ソフトウェア開発ライフサイクル全体を保護するための 4 つの段階的な一連のステップを提案しています。

Scribe を使用すると、ユーザーは SLSA によるコンプライアンス検証を自動化できます。それに加えて、Scribe は、遵守していない特定の領域について、ギャップを埋めるための一連の実用的な推奨事項を提供します。これにより、2024 年までに米国主導の新しい規制に準拠する必要があるソフトウェア制作者にとって大きな問題が解決されます。