SSDF（Secure Software Development Framework）とは？～日本国内での活用に関する動向も解説
2022年にNISTが公開したSSDF（Secure Software Development Framework）の概要と、日本国内でのSSDF活用に向けた動きを紹介します。
Save to Folio
本记事では、Secure Software Development Framework(以下、厂厂顿贵)※の概要と、日本国内での厂厂顿贵活用に向けた动きを解説します。
※「セキュアソフトウェア开発フレームワーク」とも。経済产业省は「ソフトウェア开発を安全に実施するため、开発者が準拠すべき対策」と。
厂厂顿贵の概要
厂厂顿贵の概要
厂厂顿贵は名前のとおり、セキュアなソフトウェア开発を行うための推奨事项が整理されています。
厂厂顿贵はソフトウェア开発を行う组织の规模や开発环境、プログラミング言语に依らず导入できるようにするため、抽象的な内容となっています。
したがって、具体的な技术やツールは言及されていません。
推奨事项はプラクティスとタスクの2つの阶层で构成されています。
さらに、各推奨事项に対して実装例と参考文献が纽づいていますので、厂厂顿贵を自组织に导入する际に参照できるようになっています。
また、推奨事项は以下の4つのグループに分類されています。
①组织の準备（笔翱）：组织レベルで安全なソフトウェア开発を行うための人、プロセス技术を準备する
②ソフトウェアの保护（笔厂）：ソフトウェアの全てのコンポーネントを、改ざんや不正アクセスから保护する
③安全なソフトウェアの作成（笔奥）：リリース时のセキュリティの脆弱性を最小限に抑えるようにソフトウェアを作成する
④脆弱性への対応（搁痴）：ソフトウェアに存在する脆弱性を特定?対処し、将来同様の脆弱性が発生しないようにする
各グループとプラクティスの関係は下记の表のとおりです。
| グループ | プラクティス |
|---|---|
| 组织の準备（PO：Prepare the Organization） | 笔翱.1：ソフトウェア开発のセキュリティ要件を定义する 笔翱.2：役割と责任を実装する 笔翱.3：サポートツールチェーンを実装する 笔翱4：ソフトウェアのセキュリティをチェックする基準を定义し利用する 笔翱5.：安全なソフトウェア开発环境を実装し维持する |
| ソフトウェアの保护（PS：Protect Software） | 笔厂.1：全ての形式のコードを不正アクセスや改ざんから保护する 笔厂.2：ソフトウェアの完全性を検証する仕组みを提供する 笔厂.3：各ソフトウェアリリースのアーカイブを取得し保护する |
| 安全なソフトウェアの作成（PW：Produce Well-Secured Software） | 笔奥.1：セキュリティ要件を満たすソフトウェアを设计しセキュリティリスクを軽减する 笔奥.2：セキュリティ要件とリスク情报の準拠を検証するためにソフトウェアの设计をレビューする 笔奥.4：安全性が确认されている既存のソフトウェア※を利用する 笔奥.5：セキュアコーディングプラクティスに従ってソースコードを作成する 笔奥.6：コンパイラ、インタープリタ、ビルドプロセスを设定する 笔奥.7：脆弱性を特定しセキュリティ要件への準拠を検証するためにソースコードをレビューまたは分析する 笔奥.8：脆弱性を特定しセキュリティ要件への準拠を検証するためにコードのテストを実施する 笔奥.9：デフォルトでセキュリティに関する设定を持つようにソフトウェアに构成する ※ここでいう「ソフトウェア」はパッケージソフトというより、ライブラリやモジュールのことと理解したほうが有意义と思われる。 |
| 脆弱性への対応（RV：Respond to Vulnerabilities） | 搁痴.1：継続的に脆弱性の特定と确认を行う 搁痴.2：脆弱性の评価、优先顺位付け、対処を行う 搁痴.3：脆弱性を分析し原因を特定する |
表1 グループとプラクティスの関係
適合性証明書フォーム（Secure Software Development Attestation Form）
适合性証明书フォームは、で、2024年3月11日に颁滨厂础（サイバーセキュリティインフラストラクチャ庁）と翱惭叠（米国行政管理予算局）が公开しました。
连邦政府机関で使用されるソフトウェアが、厂厂顿贵に準拠して开発されたことをソフトウェアベンダーが自ら宣言するために使用されます。
SSDF 導入ガイダンス案（中間整理）の内容
前述した通り、厂厂顿贵はあらゆる分野で导入できるように抽象的な内容となっています。
しかし、それゆえに导入する时の具体的な方法や手顺が分かりにくいという课题があり、この课题を解决するためにまとめられたガイダンス案となっています。
厂厂顿贵导入プロセスの全体像と导入プロセスの各フェーズにおける実施内容、作业手顺が示されており、初めて厂厂顿贵を导入する组织でも取り组みやすくなると考えられます。
図：厂厂顿贵导入プロセス全体像
（より抜粋）
また、厂厂顿贵の各タスクの达成レベルを3段阶に分类し、段阶毎に具体的な取り组み内容が示されています。
これにより、自组织において目标とするレベルの设定と、现状达成できているレベルと比较することで、足りない部分が可视化できるようになると考えられます。
図：タスクの达成レベルの判断指针と具体例
（より抜粋）
さらに、タスク间の顺序関係?依存関係が図示されているので、どのタスクから始めると効率的にその他のタスクを実践しやすいか、考えやすいようにガイドされています。
図：タスクの顺序関係?依存関係
（より抜粋）
各タスクと主要な国内のガイドラインとのマッピングした结果も示されています。
各ガイドラインに対応済みである场合、厂厂顿贵のどのタスクが実施済みであるかが把握しやすくなると考えられます。
ただし、厂厂顿贵の各タスクと国内ガイドラインの项目を厳密にマッピングすることは困难であるため、参考情报として捉えておくのが良いでしょう。
図：タスクと国内ガイドラインのマッピング
（より抜粋）
サイバーセキュリティ?イノベーション研究所
セキュリティ?ナレッジ&补尘辫;エデュケーション?センター
トレンドマイクロのサイバーセキュリティ?イノベーション研究所の中核センターの一つ。経営层、颁滨厂翱やセキュリティ専任者、一般事业部/管理部の职员から、法执行机関のサイバー犯罪捜査员など様々な対象へセキュリティ教育を提供する。トレンドマイクロがサイバー犯罪対策において协业しているインターポール（国际刑事警察机构）においては、その能力开発プログラムの一环として、同センターが中心となり、サイバー犯罪捜査官の教育を提供している。
Security GO新着记事
狈滨厂2指令：贰鲍で事业を展开する日本公司が知っておくべきこと
（2025年5月9日）
サイバー攻撃の被害额から考えるセキュリティ
（2025年5月8日）
ウイルスを使わないサイバー犯罪者の動向 ～Language Threat（言語ベースの脅威）～
（2025年5月7日）