将来のデジタルイノベーションの未来とDevSecOps：現代のソフトウェアサプライチェーンの攻撃ベクトルへの理解と安全性の確保

IDCのDevOpsおよびDevSecOps担当リサーチバイスプレジデントであるJim Mercer氏は次のように述べています。「近年、ソフトウェアサプライチェーンの侵害件数が急激に増加しています。これは、ソフトウェアサプライチェーンが悪質な攻撃対象として見られているためです。ソフトウェアサプライチェーン攻撃の脅威の高まりから、企業はアプリケーションソフトウェアのサプライチェーンを検証し、侵害を防ぐ対策の実装を迫られています。」

当レポートでは、DevSecOpsの動向を調査し、市場の現況、投資の最優先事項、技術バイヤーへの提言などをまとめています。

エグゼクティブスナップショット

状況概要

• より広範なビジネス成果との整合性
• ソフトウェアサプライチェーンの影響
• 投資の最優先事項

技術バイヤーへの提言

• IDおよびアクセス管理
  • 認証
  • 役割ベースのアクセス制御
  • 秘匿
    • 発見
    • 管理
• オープンソース
  • 組み込みオープンソースソフトウェア
  • SCA・SBOM
  • SBOM管理
  • オープンソースプロジェクトインテリジェンス
• ソースコード
  • ソースコード管理構成
  • EaC (Everything as Code)
  • コードレビュー
  • コード漏洩
  • ソフトウェアプロビナンス
• 構築
  • 標準化パイプライン
  • 自律的な構築ステップ
  • セキュアベースイメージ
  • 決定論的構築
  • パイプライン全体の構成の考慮
• 展開
  • IaC (Infrastructure as Code)
  • クラウドセキュリティ体制の管理
  • 脆弱性へのパッチ適用
  • ランタイム動的SBOM
• 基準
• 一般的ガイダンス

参考資料

This IDC Perspective provides insights into the various dimensions of the software supply chain that can be attacked by bad actors, with actionable insight into practices and tools for helping to secure the software supply chains."There has been an exponential increase in the number of software supply chain breaches in recent years as bad actors view it as a soft target for attack," said Jim Mercer, research vice president of DevOps and DevSecOps, IDC. "This growing threat of software supply chain attacks should compel organizations to examine their application software supply chains and do what they must to harden them to avoid being breached."

Executive Snapshot

Situation Overview

• Alignment with Broader Business Outcomes
• Implications of the Software Supply Chain
• Top Investment Priorities

Advice for the Technology Buyer

• Identity and Access Management
  • Authentication
  • Role-Based Access Control
  • Secrets
    • Discovery
    • Management
• Open Source
  • Embedded Open Source Software
  • SCA and SBOM
  • SBOM Management
  • Open Source Project Intelligence
• Source Code
  • Source Code Management Configuration
  • Everything as Code
  • Code Reviews
  • Code Leakage
  • Software Provenance
• Build
  • Standardized Pipelines
  • Autonomous Build Steps
  • Secure Base Images
  • Deterministic Builds
  • Consider the Composition of the Entire Pipeline
• Deploy
  • Infrastructure as Code Security
  • Cloud Security Posture Management
  • Patching Vulnerabilities
  • Runtime Dynamic SBOMs
• Standards
• General Guidance

Learn More

• Related Research
• Synopsis