RESOURCES · GUIDE

オフライン環境での SCA 導入 — 閉域網の OSS ガバナンス

金融・製造・重要インフラの閉域網でも、オープンソースは使われている。ネットに繋がらない環境でこそ、成分の可視化と脆弱性管理の仕組みが要る。

なぜ閉域網で SCA が難しいのか

一般的な SCA はクラウドの脆弱性データベースへの照会を前提とする。閉域網ではこれが成立しない——しかし OSS の利用と、そこに含まれる脆弱性は、ネット接続の有無と無関係に存在する。むしろパッチ適用が遅れがちな閉域環境こそ、正確な成分台帳と優先順位付けが生命線になる。

三点セット

• 内部レジストリミラー——npm/PyPI/Maven 等の公共レジストリを、外部から統制下で定期同期する内部ミラーとして運用する。依存混同攻撃の防御(内部優先解決)と、導入許可リストの執行点を兼ねる。
• 脆弱性情報のオフライン更新——SCA ツールは完全オフライン配備と、脆弱性情報の取り込み(オフライン更新パッケージ)への対応が必要。更新頻度と持ち込み手順を運用設計に含める。
• 導入許可リスト工程——新規コンポーネントは DMZ 等の審査環境でスキャン・承認してから内部へ持ち込む。審査記録がそのまま監査証跡になる。

運用の型

ビルド毎の SBOM 自動生成は閉域網でも同じ(導入ガイド参照)。違いは情報の鮮度管理:オフライン更新の周期(週次が現実的な下限)と、緊急脆弱性発生時の臨時持ち込み手順をあらかじめ決めておく。組込み製品を扱う場合はバイナリ解析も同一環境で完結させる。

選定時の確認項目

ツールの選び方の 5 軸に加え、閉域網では:完全オフラインインストール、脆弱性情報のオフライン取り込み、ライセンスサーバー不要の認証方式、内部ミラーとの統合——の 4 点を必ず確認する。CleanSource SCA は完全オフラインのオンプレミス構成に対応しており、金融機関・製造業での閉域運用実績がある。実環境要件での POC が最も確実だ。

よくある質問

オフライン環境で脆弱性情報はどう更新しますか？

SCA ツールがオフライン更新パッケージに対応していることが前提です。外部で取得した情報パッケージを、統制された手順で定期的に持ち込み適用します。

クラウド型 SCA ではだめですか？

コードを域外に出せない要件がある場合は不可です。完全オンプレミスで、スキャンも情報照合もすべて内部で完結する構成が必要になります。