OSS脆弱性管理サービス

• OSS脆弱性管理サービスとは
• 脆弱性管理の重要性
• 脆弱性管理は専門知識／工数が必要
• OSS脆弱性管理サービスの特長
• サービスメニュー
• 支援実績

OSS脆弱性管理サービスとは

OSS脆弱性管理サービスとは、脆弱性管理の工数削減や対応漏れを無くすことができるSaaS型のサービスです。
お客様自身は、利用しているOSSの脆弱性の内容精査や該当・非該当の判定、影響度などのセキュリティの専門知識の不足を補完することができるセキュリティ運用のアウトソーシングサービスです。

脆弱性管理の重要性

NVD (National Vulnerability Database) で公表された脆弱性 (CVE) の件数は、年々増加傾向で推移し、サイバーセキュリティの脅威・リスクが年々増大しています。
脆弱性を悪用したサイバーセキュリティの脅威・リスクに対しては、ベンダー製品は、脆弱性が発見された際にベンダーサポートを受けることで解決します。しかし、OSSに脆弱性が発見された際は、OSSの利用者自身が日々、OSSの脆弱性情報の収集から対処までの管理を行う必要があります。
OSS無しでは語れなくなってきている現在において、日々のOSSの脆弱性情報の収集から対処までの管理を怠ると、その影響は、賠償責任、製品・サービスの長期間の利用停止、ブランドイメージや企業の社会的な信頼性の失墜など、復旧・回復にかかる費用は状況にもよりますが億円規模になる可能性もあり、はかり知れません。

脆弱性管理は専門知識／工数が必要

脆弱性管理とは、利用しているソフトウェアを一覧やSBOMなどで可視化し、そのソフトウェアの脆弱性を日々監視・認識し、遅滞なく修正などの対応し、その状況までを管理することです。
脆弱性管理の日々の作業には、まず、米国のNISTが管理するNVDサイト、日本のJPCERT/CCとIPAが共同で運営しているJVNサイトなどに掲載される脆弱性 (CVE) 情報を確認し、発見した脆弱性がどのようなものかを正確に把握することから始まります。
次に、発見した脆弱性情報が該当するバージョンおよび機能かをコミュニティサイトなども調査し、最終的に、利用しているソフトウェアに影響する脆弱性か、該当するかしないかの判断を行っていきます。ここまでを利用しているソフトウェアについて毎日作業します。
その後は、回避・修正情報の収集、脆弱性対応 (回避・修正) によって影響を受ける機能の範囲の調査・特定、回避・修正の優先順位・時期の検討、対応の判断を遅滞なく実施することとなります。なお、今後はさらに、法令に従い通知する作業が加わることになります。

OSS脆弱性管理サービスの特長

OSS脆弱性管理サービスは、お客様より提示された監視対象ソフトウェアに脆弱性が発見された際、ただちに脆弱性情報ポータルサイトで通知します。
お客様は、自ら脆弱性情報ポータルサイトにブラウザーからアクセスし、脆弱性の詳細情報を確認して対応の判断などを行い、最終的な対応状況を管理することができます。

《特長》

• お客様は、監視対象のOSS一覧 (SBOM※) を提示するだけで、脆弱性情報をひとまとめに表示・管理ができます。
• 監視対象のOSSに脆弱性が見つかると、ただちに脆弱性情報ポータルサイトで通知するので、ブラウザーを見るだけで効率的に情報確認ができます。
• 脆弱性の内容の精査や該非の判定を終えた情報で、修正バージョンを確認するだけで、セキュリティの専門知識の不足を補完し、管理できます。
• 脆弱性情報の内容がわかりやすい日本語解説となっています。

サービスメニュー

お客様の製品・サービスで利用されるOSSの脆弱性管理に関する支援サービスを提供します。

支援実績

当社OSS管理支援サービスをご利用されたお客様の支援事例を紹介いたします。

• OSSスペシャリストが脆弱性を監視してお客様の安心・安全を支援

  

  N社様

  ・お客様課題
  出荷する製品をメンテナンスするために、搭載されるOSSの脆弱性を監視/管理する必要がありますが、脆弱性監視/対策に関する知見がありません。
  
  ・支援内容
  お客様のOSS情報(パッケージ名やバージョンなど)をもとに、脆弱性監視ツールを用いた脆弱性監視を行い脆弱性情報を配信しています。また、検出した脆弱性がお客様の製品で該当するかを判断し、必要な修正案を作成して脆弱性対策を支援しています。

OSSの活用・管理でお困りの方は、ぜひ一度ご相談ください。

• 特集記事：OSS脆弱性管理サービス

関連製品情報・サービス

富士通のLinux情報に関するお問い合わせ