エンタープライズ・ソフトウェア・サプライチェーンにおけるクローズドソースとSaaSアプリケーションのセキュリティ確保

このIDC Perspectiveでは、ソフトウェアサプライチェーンのセキュリティ保護が、オープンソースコードだけでなく、クローズドソースアプリケーションやSaaSアプリケーションにまで拡大しなければならない理由について、ガイダンスを示します。サードパーティのクローズドソースアプリケーションとSaaSアプリケーションは、企業のソフトウェアサプライチェーンにおいて、オープンソースコードと並んで重要な位置を占めることがよくあります。ある面では、クローズドソースとSaaSのソフトウエア資産は、オープンソースのコンポーネントよりもリスクが小さいです。加えて、クローズドソースのアプリに影響を与える脆弱性は、多くの場合、一般に公開されないため、脅威行為者が脆弱性を知り、悪用する可能性が低くなります。それでも、クローズドソースとSaaSのアプリは、ソフトウェアのサプライチェーンのセキュリティを阻害する多くのリスクにさらされる可能性があります。そのため、企業は、たとえアプリがオープンソースでなくても、サプライチェーン内のサードパーティアプリを追跡できなければならないです。そうすることは、企業がクローズドソースソフトウェアに関連するセキュリティ上の欠陥やインシデントが自社に影響を及ぼすかどうかを迅速に判断し、ベンダーがソフトウェアに自動的にパッチを適用しない場合に（例えば）パッチをインストールすることによって、そのような問題に迅速に対応できるようにするために重要です。IDCのITエグゼクティブプログラム（IEP）の非常勤リサーチ・アドバイザーであるクリストファー・トッツィ（Christopher Tozzi）氏は、次のように述べています。「サードパーティのクローズドソースソフトウェアとSaaSアプリは、オープンソースのセキュリティリスクに主眼が置かれがちなソフトウェアサプライチェーンのセキュリティの文脈では、見過ごされがちです。しかし現実には、安全でないクローズドソースコードや、他者によってホストされているソフトウェアも、オープンソースの脆弱性と同等の脅威をもたらす可能性があり、ソフトウェアサプライチェーンのセキュリティ戦略と実践を、オープンソースだけにとどまらないものにすることが重要です。」

エグゼクティブスナップショット

状況概要

• ソフトウェアサプライチェーンのセキュリティにおけるクローズドソースおよびSaaSアプリの役割
• サードパーティのクローズドソースおよびSaaSアプリのセキュリティ確保が重要な理由

テクノロジー購入者へのアドバイス

• 戦略的実践
• 戦術的実践

参考資料

• 関連調査
• 要約