CRAの要求を満たすSBOMは「ソフトウェアBOM」ではなく「セキュアBOM」【第3回】

よくある勘違い2：一覧があれば安心

　よくある勘違いに「一覧さえ作れば安心」という考え方がある。しかし、一覧は更新されなければ意味がない。セキュリティの現場では、脆弱性情報も依存関係も日々変化する。開発、保守、出荷後対応と連動しながら、継続的に更新される運用基盤を構築する必要がある。重要なのは、作って終わりの文書ではなく、更新し続ける仕組みだ。

　そのために必要になるのが、セキュリティ対策に特化した部品表であるセキュアBOMである。セキュアBOMは単に「製品に含まれているモジュールやコンポーネントを網羅的に列挙した一覧表」ではない。セキュリティ対策が危殆化していないか、危殆化した場合にどのように対処すべきか、さらにセキュリティ対策に関わるプロセス監査が定期的に実施されているかどうかを、即座に確認できる一覧表である。

　この一覧表を作るには、設計段階から考慮されたセキュリティ対策に基づいて、製品を開発・製造する必要がある。設計通りに正しく開発されているかをテストフェーズで確認すること、設計通りに製造されているかを定期的に製造プロセスで監査することも重要だ。これらを実施して初めて、製品に対する説明責任を果たしている状態であると言える。

企画･設計段階からのセキュリティ対策の考慮が重要に

　説明責任を果たせるセキュアBOMを作成するためには、製品の企画・設計段階からセキュリティ対策を考慮する必要がある（図2）。

図2：開発プロセスとセキュアBOMの関連

　具体的には以下のような対策だ。

●技術的なセキュリティ対策 ：セキュアでないコンポーネントを組み込む際に隔離・分離を考慮して設計する、など
●製造時に実施するセキュリティ対策 ：特定の暗号処理に用いる秘密鍵を安全な手順で組み込む、など

　さらに、主に技術的対策では費用対効果が見合わず、製品の販売価格との整合が取れない場合には次の対策を整理しておく必要がある。

●製品使用時の運用に委ねる対策 ：製品の使用時に、特定のセキュリティ要件を満たした環境で使用するようマニュアルに記載する、など

　技術的対策については、実装テストや設計テストにより、設計通りに実装されているかを確認する。製造時の対策については、工場における製造プロセスの監査を実施する。これらの確認結果や監査結果も含めて、セキュアBOMで管理する必要がある。

　次回は、実効性のないセキュアBOMを作成した場合に何が起こるのかと、説明責任を果たせるセキュアBOMの作成に必要な設計の具体的な考え方や、リスクの可視化に関する考え方と、その手法について解説する。