SBOMを活用した「ソフトウェア脆弱性統合管理サービス」の提供を開始

背景

フロンティアAIをはじめとするAI技術の進展により、サイバー攻撃における攻撃対象の探索、脆弱性分析、攻撃方法の検討・実行の高速化・自動化が進み、脆弱性が攻撃に悪用されるまでの時間が短くなることが想定されます。一方、防御側でも脆弱性の発見・分析能力が向上することで、企業・組織が取り扱う脆弱性情報は今後さらに増加すると考えられます。脆弱性情報が増加する中、自組織への影響範囲を把握し、リスクに応じて対応の優先度を迅速に判断することが重要です。また、ソフトウェア構成情報や脆弱性情報、対応状況が部門・システムや委託先ごとに分散している場合、重大な脆弱性発生時の影響調査や対応状況の把握に時間を要します。このため、SBOMを活用して自組織のソフトウェア構成を把握し、最新の脆弱性情報と継続的に照合した上で、影響範囲の特定、リスク評価、優先度判断、対応状況管理までを一連のサイクルとして実施することが求められています。

サービス概要

本サービスは、SBOMを活用し、企業・組織が利用するソフトウェアの構成情報、最新の脆弱性情報、脆弱性対応状況を統合的に管理するSaaS型サービスです。各事業部門や委託先で作成されたSBOMを外部の脆弱性情報と継続的に照合することで、既知の脆弱性の検出に加え、脆弱性が影響するシステムやソフトウェア、ライブラリを迅速に特定します。さらに、脆弱性の深刻度、悪用状況、資産重要度等を踏まえたリスク評価と、事業への影響を考慮した対応優先度の判断を支援し、各部門・各システムにおける対応状況を一元管理します。これにより、ソフトウェアの脆弱性を検知するだけでなく、自組織への影響を把握し、優先順位を決め、対応完了まで管理する環境を提供します。

図：「ソフトウェア脆弱性統合管理サービス」導入前後のイメージ

本サービスの特徴

本サービスにより期待される効果

今後の展望

NTTデータは、本サービスの提供を通じて、企業・組織におけるソフトウェア構成情報および脆弱性対応状況の統合管理を支援するとともに、AI技術の進展に伴い求められる迅速な脆弱性管理サイクルの実現を支援します。今後は、サービス機能を拡充し、システム統括部門が企業全体のソフトウェア構成情報、脆弱性の影響範囲および対応状況をより管理しやすい環境の整備を進めていきます。
将来的には、個社・組織単位の管理にとどまらず、グループ会社や委託先、企業間のサプライチェーンを含めたソフトウェア構成情報と脆弱性リスクの可視化を実現し、サイバーリスクへの対応を支えるプラットフォームサービスの提供をめざします。