Dark Sky Technology 社と協業し OSS の安全かつ継続的な運用を支援

～ 「AI 時代の重要インフラサプライチェーン向けトラスト基盤構想」第一弾 ～

(Dark Sky Technology 社の Michel J.Mehlberg CEO( 右 ) と Tim Smith Senior Director of Business Dev( 左 ) )

OSS（オープンソースソフトウェア）を活用した開発において、「SBOM（ソフトウェア部品構成表）を作成しているから安全だ」と過信するのは危険です。AI 時代の開発基盤や重要インフラにおいては、SBOM や OSS の構成情報をもとに、「利用してよい OSS か」「追加審査が必要か」「利用を避けるべきか」を正確に判断し、その根拠を記録・維持する継続的な取り組みが求められています。
こうした中、ソフトウェアサプライチェーンにおける脅威を可視化する技術とサービスが国内外で強く注目されています。サイバートラストは、米国の厳格な安全基準に適合し、防衛・医療分野などで数多くの導入実績を誇る Dark Sky Technology, Inc.（以下、Dark Sky 社）と協業し、日本の重要 IT システムおよび組込み製品向けに、OSS の安全かつ継続的な運用を支援する「OSS 適合証明サービス」の提供を開始する予定です。

「OSS 適合証明サービス」誕生の背景

本サービス誕生の背景には、企業の CISO（最高情報セキュリティ責任者）が最優先で対処すべき「OSS サプライチェーンのリスク」の顕在化があります。AI を活用したソフトウェアの開発・運用が高速化する一方で、利用する OSS や生成されたコード、適用される修正プログラム、そして運用上の判断について、「継続的に説明可能な状態」を維持できなければ、真に信頼できる AI 基盤を構築することはできません。
経済産業省および内閣官房国家サイバー統括室が策定した「サイバーインフラ事業者に求められる役割等に関するガイドライン」においても、サイバーインフラを担う事業者に対して以下の要求事項が明示されています。

1. セキュリティ品質を確保したソフトウェアの設計・開発・供給・運用
2. ソフトウェアサプライチェーンの管理
3. 残存脆弱性への速やかな対処
4. ソフトウェアに関するガバナンスの整備
5. サイバーインフラ事業者・ステークホルダー間の情報連携・協力関係の強化
6. 顧客の経営層のリーダーシップによるリスク管理とソフトウェア調達・運用

（出典：「サイバーインフラ事業者に求められる役割等に関するガイドライン」の日本語版・英語版を策定しました（METI/ 経済産業省））

同ガイドラインが示す通り、サプライチェーン全体でのセキュリティ確保には、事業者とその顧客双方が役割を正しく認識し、対策を講じる必要があります。サイバートラストはこうした市場環境とガイドラインの要請を踏まえ、重要インフラに不可欠な IT システムの継続的な運用管理を強力に支援します。

Dark Sky 社との協業が生み出す「OSS 適合証明サービス」の強み

サイバートラストが OSS の安全性を評価・担保するうえでバックボーンとして活用しているのが、Dark Sky 社が提供する最先端のソフトウェアサプライチェーンセキュリティプラットフォームです。サイバートラストが長年培ってきた Linux/OSS 長期保守、組込み Linux 開発、SBOM 運用などの知見と、この高度なプラットフォームを融合させることで、確固たる安全性の担保を実現し、国内のお客様に安心して利用できる OSS をお届けします。
本サービスの基盤となるこのテクノロジーは、SBOM 管理、OSS パッケージの健全性評価、依存関係のリスク評価、脅威インテリジェンス、そして監査証跡の管理を包括的に支援します。これにより、OSS をプロジェクトに導入する前段階で各パッケージの健全性を確認でき、開発環境を常に安全な状態に維持することが可能になります。

深く詳細な脅威インテリジェンス

「OSS 適合証明サービス」の裏側を支える基盤技術の最大の特長は、その高度な脅威インテリジェンスにあります。オープンソースの貢献者（コントリビューター）を現実世界の身元と紐づけ、彼らの行動パターンや地政学的リスクを評価します。「制裁対象団体や外国の敵対勢力、信頼できない主体に所属していないか」といった情報までを網羅し、悪意のある貢献者がコードをマージする前に脅威を検出、対象の OSS にフラグを立てて警告します。

網羅的な脆弱性スキャン

SBOM 内のすべてのパッケージとその依存関係（さらにその先の依存関係まで）を、National Vulnerability Database（NVD）や GitHub Security Advisories など、約 40 もの脆弱性データベースと連携して継続的にスキャンし、潜む脆弱性を可視化します。

( コアテクノロジーを説明する Dark Sky Technology 社の Michel J.Mehlberg CEO )

悪意のある貢献者の行動を監視する先進的なアプローチ

Dark Sky 社の Michel J.Mehlberg CEO は、基盤となるプラットフォームの基本的な仕組みと優位性について次のように説明しています。
「私たちが提供するプラットフォームは、OSS のソースコードとパッケージに関する多角的な情報を収集します。パッケージの人気度や成熟度、OpenSSF Scorecard のスコアに加え、バグの修正頻度や新しいコードのチェックイン頻度など、ソフトウェア開発組織にとって重要な指標を網羅しています。さらに特徴的なのは、コードを一行でも書いたことのあるすべての『貢献者（コントリビューター）』の情報を収集・追跡し、経歴を調査する点です。世界のどこで開発を行っているのか、そして国籍はどこか。管理画面では、個々の貢献者が修正したすべてのソフトウェア、ネットワークで繋がっている他の開発者、拠点、そして具体的な行動パターンまでを確認できます。悪意のある貢献者はしばしば身元を隠そうとするため、私たちは彼らの『行動』そのものも厳格に監視しています」

サービスを支えるリスク評価機能と米国での圧倒的な導入実績

「OSS 適合証明サービス」の安全性担保のバックボーンとして採用するリスク評価能力と、Dark Sky 社が米国で築き上げた確かな実績は以下の通りです。

【主要なリスク評価機能】

• パッケージ解析：パッケージの利用状況、成熟度、バグ修正頻度などを総合的に分析。
• コントリビューター解析：コード作成者の背景（所在国、国籍、ネットワーク、行動パターン）を調査し、なりすましや制裁対象企業との関連を排除。
• 脆弱性管理：約 40 の脆弱性データベースとリアルタイムに連携し、対象ソフトウェアへの影響を迅速に特定。
• AI 活用による VEX（脆弱性影響評価）分析：AI を用いて、検出された脆弱性が実際のコードに影響するか（実質的な脅威か）を自動判定。手作業によるレビュー負荷を劇的に軽減。
• ポリシー準拠チェック：NIST SSDF や IEC 62443 といった厳しい業界標準に基づき、コンプライアンスチェックを自動化。

【米国における評価と展開実績】

• TRL9（技術成熟度レベル 9）：米国政府機関や民間企業での実運用実績を持ち、SaaS、オンプレミス、エアギャップ（完全閉域網）環境への導入に対応。
• 国家安全保障を前提とした設計思想：インテリジェンスコミュニティ出身者で構成された開発体制（全従業員がセキュリティクリアランス取得可能な米国市民）により構築。
• 公的機関での採用拡大：米国政府 IT 調達の主要代理店である Carahsoft との提携（2026 年 5 月）により、NASA SEWP V など複数の政府調達枠組みで利用可能に。
• 宇宙インフラ防衛への貢献：宇宙・衛星インフラへのサイバー脅威対応コミュニティ「Space ISAC」へ参画（2024 年 2 月）し、宇宙システムの OSS サプライチェーンセキュリティを牽引。

サイバートラストが提供する、これら最先端技術を活用した「OSS 適合証明サービス」の具体的な利用手順や詳細については、続く第三部で解説します。

本記事に関連するリンク

• AI 活用の加速で高まる OSS の脆弱性リスクに備える ～ AI 時代の重要インフラサプライチェーン向けトラスト基盤構想