米政府、ソフトウェアサプライチェーン保護のガイダンスを公開

米政府は、ソフトウェアサプライチェーンにおいてカスタマーにおけるセキュリティ対策を示したガイダンスを公開した。開発者、サプライヤー向けのガイダンスも用意されている。

米国土安全保障省のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）、米国家安全保障局（NSA）、米国家情報長官室（ODNI）が共同でリリースしたもの。資料はPDFにより提供されており、誰でもダウンロードすることができる。

同資料は、ソフトウェアサプライチェーンにおいて推奨されるプラクティスを示したガイダンス。「Apache Log4j」や「SolarWinds」などサプライチェーンを狙うサイバー攻撃が目立っていることから、推奨される対策などを示した。

全3部構成で、8月から10月にかけて開発者やサプライヤー向けにガイダンスを公開しており、今回リリースしたカスタマー向けのガイダンスによってシリーズが出揃った。

カスタマー向けのガイダンスでは、ソフトウェアの調達や展開時において、ソフトウェアの整合性やセキュリティを確保する上で推奨される対策を示しており、ファクトシートも付属している。

（Security NEXT - 2022/11/28 ）ツイート