BSIMMsc

ソフトウェア・サプライチェーン・マネジメントの主なステップ 

1. BSIMMで自社を評価する

BSIMM9には、サードパーティ・ベンダーに関連するソフトウェア・セキュリティ・リスクを制御するための具体的な5つのアクティビティ（全116中）が含まれます。これらは、サードパーティ・ソフトウェアを購入するすべての企業によって実行されるべきアクティビティであるため、重要です。

1. コンプライアンスおよびポリシー2.4：すべてのベンダー契約にソフトウェア・セキュリティSLAを含める。
2. コンプライアンスおよびポリシー3.2：ベンダーにポリシーを強制する。
3. トレーニング3.2：ベンダーや協力会社の従業員にトレーニングを提供している。
4. 標準および要件2.5：SLA文例集の作成。
5. 標準および要件3.2：ベンダーに標準を通知する。

サードパーティ・ソフトウェア（カスタム、商用オフザシェルフ、オープンソース、またはその中間製品）を購入するすべての企業は、各サプライヤーに関連するこれらの5つのアクティビティをどれぐらい効果的に実行しているかを測定する必要があります。

2. ソフトウェア・サプライチェーンにBSIMMscを利用する

BSIMMscは以下のBSIMMアクティビティで構成されます。

モデルを用いてソフトウェア・サプライヤーのソフトウェア・セキュリティの成熟度を評価します。

3. ソフトウェア・テストを行う

ソフトウェア自体のリスクのランク付けとベンダー評価の結果に基づいて、ソフトウェアをテストできます。必要に応じて、静的解析（SAST）、ペネトレーション・テスト、アーキテクチャ・リスク分析、動的アプリケーション・セキュリティ・テスト（DAST）、ファジングなどのアプローチを利用できます。

詳細はこちら