SBOMの作成・更新
SBOMの対象・形式・更新方法を整理し、対象となる成果物、構成情報の取得方法、保管先と更新タイミングを設計します。
SBOM活用・脆弱性管理の3つの支援領域
構成情報を作るだけで終わらせず、脆弱性を評価し対応する日々のプロセスへ接続します。
脆弱性の評価・優先順位付け
脆弱性の評価と優先順位付けを設計し、脆弱性情報と利用状況を関連付け、影響範囲、優先度と対応判断を整理します。
開発・運用プロセスへの定着
開発・運用プロセスへ対応フローを定着させ、検出、確認、担当割り当て、更新、例外判断と記録を既存の開発・インフラ運用へ組み込みます。
SBOMを脆弱性対応の判断と運用へつなぐ
利用しているコンポーネントを把握できず、脆弱性情報と影響範囲を結び付けられないと、対応の優先順位や説明責任が曖昧になります。grasysはSBOMの作成・更新方法、脆弱性の評価と対応フロー、開発・インフラ運用との接続を設計します。
- SBOMの作成・収集・更新方法を設計
- 脆弱性と影響範囲を関連付けて管理
- 対応優先度と担当・判断フローを整理
- 開発・インフラ運用へ継続的に組み込み
SBOM活用で目指す4つの価値
構成情報の把握
対象ソフトウェアに含まれる構成要素を確認可能な形で管理します。
影響範囲の特定
脆弱性情報と利用状況を関連付け、確認すべき対象を絞り込みます。
対応優先度の共有
影響、利用状況、緊急性と対応方法を整理し、関係者の判断を揃えます。
継続的な説明責任
確認、判断、対応と例外の記録を残し、運用状況を説明できるようにします。
セキュリティ・運用改善の事例
脆弱性対応、セキュリティ強化、クラウド運用を支援した関連事例をご紹介します。
上場に向けたAWS基盤刷新で可用性とセキュリティを強化
クラウドインフラの運用には専門知識が不可欠だ。出張手配サービスを提供するＩＡＣＥトラベルは、サービスの急成長とIPOに伴って可用性やセキュリティの課題に直面した。“インフラのプロ”の力を借りていかに解決したのか。
事例を見る
Google Cloud移行で不正ログイン対策サービスの安定運用を実現
不正ログインを防ぐ「パズルCAPTCHA」などを提供するCapy株式会社。grasys が選ばれた決め手や、長年の grasys との連携についてご紹介します。
事例を見るSBOM活用・脆弱性管理の進め方
対象と現行運用の整理から継続改善までを4段階で進めます。
対象・現行プロセスの整理
対象ソフトウェア、開発・配布方法、利用部門と現在の脆弱性対応を確認します。
SBOM・対応フロー設計
構成情報の取得、更新、脆弱性評価、担当、優先順位と記録方法を設計します。
導入・連携・検証
対象範囲でSBOM管理と脆弱性確認を導入し、既存ツール・運用との接続を検証します。
運用・対象拡大
対応状況を確認し、判断基準、更新方法と対象範囲を継続して改善します。
よくあるご質問
SBOMの対象、更新、脆弱性対応に関する主なご質問です。
アプリケーション、コンテナ、パッケージなど、開発・配布方法とリスクを確認して対象範囲を決めます。
リリース頻度、構成変更、脆弱性確認の運用に合わせ、生成・収集・更新のタイミングを設計します。
影響範囲、利用状況、緊急性を確認し、担当、優先度、更新・回避・例外判断と記録の流れを設計します。
対象成果物、開発・運用環境、既存ツール、連携範囲と支援期間を確認して個別にお見積もりします。