「ソフトウェアの情報共有の方法を標準化する必要がある」　Linux Foundationがツールやオンライン講座を提供：安全なソフトウェア開発に向けてSBOMの使用を促進

The Linux Foundationは、SPDXに準拠した新しい業界調査やオンライントレーニング、ツールを発表した。安全なソフトウェア開発に向けてソフトウェア部品表（SBOM）の使用を促進する。

» 2021年06月21日 08時00分公開

[＠IT]

この記事は会員限定です。会員登録（無料）すると全てご覧いただけます。

　The Linux Foundation（以下、Linux Foundation）は2021年6月18日、安全なソフトウェア開発に向けてソフトウェア部品表（SBOM）の使用を促進するために、SPDX（Software Package Data Exchange）に準拠した新しい業界調査やトレーニング、ツールを発表した。Linux Foundationプロジェクトの1つであるSPDXは、SBOMの情報を伝えるためのデファクトスタンダードを目指している。

The Linux Foundation japanのWebページから引用

　Linux Foundationによると「最近のアプリケーションはおよそ90％がオープンソースを利用している」という。SBOMは、アプリケーションが利用しているオープンソースソフトウェアコンポーネントについて、品質やライセンス、セキュリティ属性を詳細に説明するもの。ソフトウェアのサプライチェーン全体にどのコンポーネントが存在するかを理解し、問題とリスクを事前に特定し、修復の開始点を確立するために使用する。

オンライントレーニングは無料で利用できる

　今回発表された新しい業界調査は、Linux Foundation Researchが実施する「SBOM採用準備調査」。ソフトウェアサプライチェーンのセキュリティに関連して、SBOMを採用するに当たっての障壁と、それを克服するために必要な将来のアクションを検証するという。

　オンライントレーニングは「Generating a Software Bill of Materials（LFC192）：ソフトウェア部品表の生成」。SBOMを生成するのに使用可能なオプションやツール、それらを利用してサイバーセキュリティの対応能力を向上させる方法についての基礎知識を無料で学習できる。

#CmsMembersControl .CmsMembersControlIn {width:100%;background:url(https://image.itmedia.co.jp/images/spacer.gif) #DDD;opacity:0.05;filter:progid:DXImageTransform.Microsoft.Alpha(Enabled=1,Style=0,Opacity=5);z-index:1;}

続きを閲覧するには、ブラウザの JavaScript の設定を有効にする必要があります。

「仮想パッチ」は通常のパッチと何が異なるのか
仮想パッチは脆弱性パッチの一種だが、脆弱性のあるソフトウェアへ直接パッチを当てるのではなく、ネットワークレベルで脆弱性に対応する。Compritech.comによれば、ネットワークやシステムの管理者は業務の一環として仮想パッチに取り組むべきだという。
「仕様通りだけど使いづらい」を解消する、探索的テストの考え方
少人数、短期間の開発を繰り返すアジャイル開発では、どのようにすれば品質を保つことができるのだろうか。本連載では、アジャイル開発における品質管理の手法を解説する。前回から、スプリント内でのテストと品質保証について、2回に分けて解説している。後編となる今回は、探索的テストとアジャイル開発における品質改善事例について。
Google、OSSパッケージの依存関係を可視化した実験的サービスを発表
Googleはオープンソースプロジェクトの依存関係などを可視化した実験的サービス「Open Source Insights」を提供開始した。「変更のペースが速く、ついていくのが難しい場合がある」「大きなプロジェクトが依存するソフトウェアパッケージが頻繁にアップデートされ、明確な現状把握ができない場合がある」といったOSSの課題を解消するのが目的だ。