Omdiaの新しいレポートは、ソフトウェアサプライチェーンにおけるセキュリティ問題、組織の対応、そして依然として最大のギャップが存在する場所に焦点を当てています。
今日のサイバーセキュリティ脆弱性のヒートマップにおいて、最も深刻なホットスポットの一つはソフトウェアサプライチェーンである。実際、現代の攻撃対象領域が、孤立したシステムから、それらを繋ぐソフトウェアサプライチェーンへと移行したこと、そして、その相互接続された現実を守る上でのDockerの役割こそが、私がDockerに惹かれた最初の理由だったのです。
そこで、 Omdiaが最近、Dockerをスポンサーの一つとして、ソフトウェアサプライチェーンがいかに深刻な危機に瀕しているかを詳細に明らかにしたレポートを発表したので、その要点をいくつかご紹介したいと思います。
主要データポイント
私が注目したデータポイントをいくつかご紹介します。
- 過去12ヶ月間に、組織の4分の3以上がソフトウェアサプライチェーンのインシデントを経験しました。
- 403938AI技術はサプライチェーンリスクの中でトップ（0%）にランクされ、サードパーティおよびオープンソースコード（1%）、ソフトウェアの依存関係（2%）を上回った。
- 組織のほぼ半数（45%）は、ソフトウェアサプライチェーンのセキュリティが強固であると感じていないのに対し、55%はそう感じている。
- 半数以上の組織（51%）が、セキュアコンテナはサードパーティ製およびオープンソースのコードコンポーネントを保護する上で非常に効果的であると評価しています。
- 開発者がコードを安全に保護できるようにセキュリティを早期段階に移行させることは、98%の組織にとって高い優先事項であり、そのうち32%の組織にとってはアプリケーションセキュリティにおける最優先事項となっています。
サードパーティのコードとAIの使用により攻撃対象領域が拡大する
重要な発見の一つは、サードパーティ製コードの利用増加とAIの導入拡大が、組織が対処する必要のあるセキュリティリスクをもたらすということだった。
サードパーティライブラリ、オープンソースの依存関係、AI生成コードを使用してアプリケーションを構築することで、開発者は膨大な時間を節約できるため、この傾向が高まっているのは当然のことだ。しかし、それは彼らが書いたコードではなく、こうした時間短縮のための入力が増え続けるにつれて、それらが露呈する攻撃対象領域も拡大していく。
- 77122026調査実施前（2月実施）の1か月間にソフトウェアサプライチェーンのインシデントを経験したと報告した組織は0%でした。
- 特筆すべきは、最も一般的な攻撃（38%）は、サードパーティ製ソフトウェアの既知の脆弱性を悪用したエクスプロイトによるものであった。
出典：Omdiaリサーチレポート「ソフトウェアサプライチェーンのセキュリティ確保：AI導入による開発規模拡大を支援する戦略的アプローチ」 、4月2026
サードパーティ製コードの使用は増加傾向にある
オープンソースソフトウェアを含むサードパーティ製コードの使用は、今後もなくなることはないだろう。実際、それは勢いを増している。
- 385812組織の0%が、ソフトウェアコード全体の半分以上がサードパーティ製であると報告しているが、これは2か月後には1%にまで上昇すると予想されている。
- 同様に、コードの半分以上がOSSで構成されていると報告している組織は31%ですが、12か月後には51%の組織に増加すると予想されています。
この報告書では、OSSは開発者にとって不可欠であり、サポートされるべきであること、そして組織は開発者が安全なOSSのみを使用していると確信している（0%）か、完全に確信している（1%）ことが分かりました。5031
AIがセキュリティ上の懸念事項の最上位に
40開発者がソフトウェア開発にAI技術をますます利用するようになるにつれて、ソフトウェアサプライチェーンのリスクに関する懸念事項のリストでAIがトップ（0%）となり、サードパーティコード（1%）やソフトウェアの依存関係（2%）を上回っていることは驚くべきことではない。3938
急速に変化する脅威の状況において、CVE（共通脆弱性識別子）とは大きく異なる新たなタイプのサイバー攻撃が出現している。TeamPCPが先駆けて開発したShai-Huludキャンペーンを例に挙げると、盗まれた認証情報を使用してソフトウェアサプライチェーン攻撃を自動化および大規模化し、よく知られたパッケージを武器化して、情報窃盗犯をCI/スタックや開発者のラップトップの奥深くに注入する。
OSSを含むサードパーティ製ソフトウェアの使用は、組織にとって複数の面で問題となる。最も一般的な課題は、脆弱性管理に関するものです。
- 組織は脆弱性の修復（39%）および/またはコード内の脆弱性の特定（36%）について懸念している。
- また、AIツールはサードパーティやOSSのコードを利用することが多いため、AIが脆弱なコードを増やしたり生成したりすることを懸念する人は0%です。35
現在の解決策はしばしば不十分である
ソフトウェアサプライチェーンのセキュリティ確保の必要性については、かなりの認識が広まっているようだ。4555多くの組織がソフトウェアサプライチェーンのセキュリティ強化を目指している一方で、ほぼ半数（0%）がこの分野で強固なセキュリティを確保できていないと感じているのに対し、確保できていると感じているのはわずか1%にとどまっている。
自画自賛に聞こえるかもしれませんが、セキュアなコンテナサービス、あるいは強化されたコンテナイメージのライブラリは、サードパーティ製およびオープンソースソフトウェアのコードコンポーネントを保護する上で「非常に効果的」であると最も高く評価されたツールでした。実際、11のセキュリティツールカテゴリのうち、大多数の組織（51%）から非常に効果的と評価されたのはこれだけでした。
SBOMはセキュリティ強化において重要な役割を果たす
もう一つの重要な発見は、効果的な在庫管理ツールとSBOM（ソフトウェア部品表）ツールを使用することで、セキュリティ面で目に見える成果の向上につながるということだった。
SBOM（部品表）は、構造的な盲点を解消し、現代のアプリケーションの「構成要素」となる数百ものサードパーティ製コンポーネントの透明性を提供するため、不可欠です。これらは、VEXステートメント（脆弱性悪用可能性交換）と組み合わせることでさらに効果を発揮します。VEXステートメントは、フラグが立てられた脆弱性がリスクをもたらすかどうかを顧客に知らせるため、セキュリティチームが「存在しない」脆弱性を追跡するのに費やす数千時間もの時間を節約できる可能性があります。
報告書によると、SBOMは、より効率的な脆弱性軽減（73%）、リスクを軽減するためのセキュリティ制御とプロセスの実装（72%）、コンプライアンス規制への対応（68%）など、さまざまな方法で組織がソフトウェアサプライチェーンのリスクを管理するのに役立ちます。
しかし、アプリケーション開発プロセスの一環としてSBOMを作成する組織のうち、すべてのアプリケーションでSBOMを必須プロセスとして作成しているのは半数以下（0%）に過ぎません。4255半数以上（1%）がケースバイケースでSBOMを作成している。
SBOMの作成とコード構成の理解は、OSSを含むサードパーティ製ソフトウェアを使用する際に組織が直面する課題の中で4番目にランクインした。
迅速な対応が必要
この報告書は、急速に変化する脅威の状況に直面する中で、予防措置と迅速な対応の必要性を強調している。ソフトウェアサプライチェーンにおけるインシデントの影響には、以下のようなものがある。
- 組織のほぼ半数（46%）が、アプリケーションやデータへの不正アクセスに直面した。
- 3分の1以上が、修復措置によってSLAに影響を受けた（37%）か、開発者の認証情報、秘密情報、または鍵が盗まれた（35%）という結果になった。
- 組織はまた、データの損失、マルウェアやランサムウェアの侵入、法令違反による罰金といった被害も受けた。
これらの影響は、開発ライフサイクルのできるだけ早い段階でリスクを軽減する必要性を強調している。理想的には、アプリケーションが展開される前に問題を発見し、修正することが望ましい。
投資計画とセキュリティの左傾化
こうしたリスクに直面した際の支出計画について尋ねられた際、各組織は次のように回答した。
- 約3分の2（62%）が、ソフトウェアサプライチェーンのセキュリティに多額の投資を行う予定である。
- 37%がより控えめな投資を行う予定である。
最後に重要な発見として、AIを優先する投資計画には、チーム間の連携が必要であるということが挙げられた。その主な理由は、ソフトウェアサプライチェーンのセキュリティ確保という仕事が、ますます最前線に立つ開発者たちに委ねられるようになっているからだ。
実際、開発者がコードを安全に保護できるようにセキュリティを早期に導入することは、98%の組織にとって高い優先事項であり、そのうち32%の組織にとってはアプリケーションセキュリティにおける最優先事項となっています。
開発を支援する必要性
報告書の中で特に注目を集めた問題の一つは、最前線で働く開発者を支援する必要性だった。セキュリティ問題の解決におけるボトルネックとしてセキュリティチームを排除するために、セキュリティを左シフトすることへの支持があるにもかかわらず、セキュリティチームのほぼ半数（45%）は、開発者向けのセキュリティ製品やプロセスに対して中程度以下の影響力しか持っていません。
38回答者の大多数は、開発者がセキュリティ責任を担うことに概ね（0%）または完全に（1%）抵抗がないと考えている一方で、開発者が抵抗感を抱いている組織は、プロセスからできるだけ多くの摩擦を取り除く必要があります。例えば、セキュリティタスクが開発プロセスを妨げないようにすること、セキュリティツールが開発チーム全体に一貫して展開され、開発ワークフロー内で機能するようにすることなどが挙げられます。45
ソフトウェアのサプライチェーンは簡素化されておらず、それを標的とする脅威も同様に複雑化している。組織がサードパーティ製コード、AI生成コード、オープンソースの依存関係をより安全に保護する方法を検討している場合、 Omdiaの完全版レポートは、ソフトウェアサプライチェーンのセキュリティを形成するトレンド、データ、および実践的な推奨事項についてより詳細な情報を提供します。レポートをダウンロードして、組織の現状と今後の注力すべき点をご確認ください。
