CISAが示すオープンソースソフトウェアの利用指針：SBOM管理とライフサイクルを通じたリスクプロセスの構築

解説

今日のシステム環境を支える基盤として、オープンソースソフトウェア（OSS）の利用は不可欠です。しかし、その利用が拡大するにつれて、セキュリティ上の課題も構造的に増しています。

米国サイバーセキュリティ・インフラ安全保障機関（CISA）より、OSSを利用する際の推奨プラクティスに関する新しいガイダンスが出されました。これは特定の製品を修正するための指示ではなく、組織全体のガバナンスやプロセスを見直すための指針です。

自社では、この機会に開発のライフサイクル全体におけるOSSのリスク管理体制や、ソフトウェア部品表（SBOM）の管理仕組みなど、取り組んでいるワークフローの棚卸しを検討しておきたいところです。

ポイント

• CISAより、オープンソースソフトウェア（OSS）の安全な利用に関する包括的なガイドラインが提供されました。
• 本指針では、開発ライフサイクルを通じたリスク管理、C4フレームワークによる信頼性評価、SBOMの活用方法など、具体的な対策が推奨されています。
• 特に脆弱性管理や、オープンソースAIシステムの取り扱いを含め、最新のセキュリティプラクティスが盛り込まれています。

情シスへの影響

このガイダンスは特定の製品アップデートを指示するものではなく、組織的なガバナンスとプロセスに関する指針です。したがって、即座に何かを設定変更する必要はありません。

しかしながら、OSS利用の規模や性質が大きい場合、以下のような領域でのプロセス見直しが求められます。

• SBOM（Software Bill of Materials）管理体制: 導入している全てのサードパーティ製ソフトウェアに含まれるオープンソースコンポーネントを特定し、記録・管理する仕組みの構築。この作業には自動化ツールや資産管理システムの導入検討が必要です。

• 脆弱性ライフサイクルプロセス: OSSに起因する脆弱性を発見した際（または通知を受けた際）の対応フロー（修正、パッチ適用、代替策選定など）を明確化し、関係部署（開発、セキュリティ、運用）間で共有することが重要です。

• 信頼性評価・リスク管理フレームワークの導入: どのOSSを利用するか否かという判断基準として、C4のような多角的な信頼性評価指標を部門レベルで採用し、利用承認プロセスに組み込む必要があります。

影響範囲

全システムにおけるオープンソースソフトウェア（OSS）コンポーネント、開発パイプライン全体、セキュリティポリシーおよびガバナンス体制、資産管理システム、CI/CD環境（SBOM生成の観点から）。

重要度

★★★☆☆

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• AD管理者
• Linux管理者
• Windows管理者

優先度

計画的に対応

優先度の理由

この資料は指針（ガイダンス）であり、特定の技術的な即時修正が必要なわけではありません。しかし、組織がOSSに依存する度が高い場合、セキュリティリスクを構造的に減らすためのプロセス改善や体制構築（SBOM管理など）は重要な課題となるため、「計画的」に対応すべきです。まずは現状のOSS利用状況とガバナンス体制の棚卸しから始めるのが適切です。

確認手順

• 現在稼働している主要なアプリケーション群におけるOSS依存度を洗い出すための資産リストを作成する。
• SBOM（Software Bill of Materials）を取得、または生成できるツールの導入可能性とPoCを実施する。
• 利用規約やコンプライアンス観点から見直しが必要なOSSライセンスの特定手順を確立する。
• 開発・運用チームに対し、新しいOSS利用に対するセキュリティレビュープロセス（例：脆弱性チェック）の義務化を指示し、適用範囲を確認する。