コネクテッド機器のソフトウェアスタックは、チップの BSP から OS、ミドルウェア、応用層までにまたがり、異なるサプライヤーから異なる納品形態で届きます。製品を世界市場へ出すとき、そのスタック全体の成分について責任を負うことになります。バイナリでしか受け取っていない部分も含めて。
チップベンダーの BSP、OS ディストリビューション、第三者ミドルウェアから自社開発の応用まで、一台の機器のソフトウェアは数十の供給元に由来し、どの層でも記録されない OSS 部品が入り込みえます。
サプライヤーはファームウェア、イメージ、静的ライブラリの形で納品することが多く、ソースコードは入手できません。宣言ファイルとソースに依拠する従来の SCA は、この種の成果物の前で機能しません。
民生電子機器では機種とバージョンの数が膨大で、機種ごとにソフトウェア構成が異なります。一つずつ人手で成分を洗い出すことは現実的でなく、自動化された一括処理の能力が必要です。
EU CRA、GDPR、各国のセキュリティ認証、通信事業者の受け入れ要件が積み重なります。SBOM と脆弱性対応の能力は、差別化要素から参入の前提条件へと変わりつつあります。
EU 市場へ投入されるデジタル要素を持つ製品に成分の透明性と脆弱性対応の義務を課し、主要な義務は 2027 年にかけて段階的に適用されます。民生電子機器とスマート機器はまさに対象範囲です。
端末機器に対する各国・各通信事業者のセキュリティ認証要件は細分化が進み、ソフトウェア成分と既知脆弱性の状態は提出資料の一部となります。
GPL 系のライセンス義務はファームウェア配布の場面でとりわけ敏感です。一度の見落としが機器全体のファームウェアに対するソース公開要求を招きかねず、法務上の露出はサーバー側の場面よりはるかに大きくなります。
モバイル端末と IoT 機器のセキュリティ技術要件は更新が続いており、第三者 SDK と OSS 部品の開示は常設の確認項目になっています。
CleanBinary はサプライヤーが納品するファームウェア、イメージ、静的リンクライブラリにバイナリ水準の成分分析を行い、ソースがない条件下で部品とバージョンを復元し、供給網で最も不透明な環を埋めます。
CleanBinary を見る →CleanSource SCA はスニペット単位の指紋照合で OSS 成分を識別し、とりわけファームウェア配布における GPL 系の伝染性の危険を重点的に管理して、法務上の反論に使える証拠の連鎖を出力します。
CleanSource SCA を見る →成分分析をビルドパイプラインへ接続し、機種ごとに版とともに更新される SBOM を自動生成します。機種ごとの人手の洗い出しを、一度の設定と継続的な産出へ変えます。
CI ゲートの実践 →SPDX / CycloneDX の標準で SBOM を出力し、脆弱性の状態とライセンス一覧を添えて、顧客・認証機関・規制当局へそのまま提出できる資料を整えます。
CRA コンプライアンスガイド →チップベンダーが納品する BSP と第三者のファームウェアモジュールに CleanBinary でバイナリ成分の識別を行い、ソースがない条件下でも完全な部品一覧を整えて、機器全体のファームウェアにおける OSS ライセンス義務の判定に根拠を与えています。
成分分析をビルドシステムへ接続し、複数の製品系列の各機種について版ごとに更新される SBOM を自動で産出するようにしました。機種ごとに人手で行っていたコンプライアンスの準備が、一度の設定と継続的な産出へ変わっています。
スマート端末・製造業のお客様（一部）
自社のファームウェアと納品物でどう機能するか、実際にご覧ください。
商务合作
微信公众号