Wind Riverのセキュア開発ライフサイクル

Wind Riverは、セキュリティについて合意した契約に基づきベンダーからソフトウェアコンポーネントを購入し、信頼できるリポジトリからオープンソースソフトウェアを取得しています。これらのサードパーティソフトウェアコンポーネントはすべてのコンポーネントのセキュリティを保証するため、社内で開発したソフトウェアとともに、ここで説明する完全なSDLの対象となります。これらの信頼できるコンポーネントは標準の信頼できるリポジトリに登録され、ツール、開発、テスト、リリースのパイプラインでの使用が承認されます。

継続的な脅威モデリングは、アーキテクチャの弱点を特定し、当社の要件管理プロセス全体に厳密に沿って処理とソフトウェア機能を体系的に優先順位付けするために、STRIDE、OWASP Threat Dragon、ATASMを使用して行われます。。

ソフトウェアは、当社のセキュリティアーキテクトとセキュリティチャンピオンによる独立したレビューを受け、設計、安全なコーディング基準、リスク処理の結果をチェックします。また、こうしたメンバーは当社製品のセキュリティベースラインを設定し、堅牢なソフトウェアのコンパイル、構成、セキュリティ強化のガイドラインという形でお客様にお伝えしています。

ソフトウェアは、ソフトウェアパイプライン全体を通じて、セキュリティユースケース、静的分析、動的分析、脆弱性スキャン、侵入テスト、ファズテストからなる厳密なテストを受け、標準的な問題管理および製品受け入れ基準に従って問題と解決方法が厳格に管理されます。

Wind RiverのProduct Security Incident Response Team (PSIRT)は、お客様、規制当局、セキュリティコミュニティ、そして当社の製品セキュリティオフィスと連携してSDLのポリシーおよび標準を推進し、開発チームやセキュリティチャンピオンにサポート対象製品のセキュリティ問題をタイムリーに特定して解決するためのプロセスと手順を提供します。これらのプロセスや手順はFIRST.org PSIRTサービスフレームワークとISO/IEC 30111および29147標準に準拠しています。
 

Wind Riverは、セキュリティ情報やセキュリティセンターからアクセス可能な包括的な脆弱性データベースを利用して、サポート対象の製品における脆弱性のタイムリーな解決と通知、そして修復を継続的に実施しています。

注：提供される脆弱性修正サービスのレベルは該当する製品ライセンスやサポート契約および保守契約に従って決定されます。

» PSIRTポリシーをの詳細はこちら

Wind Riverは、お客様に対し、Secure Software Development Conformance Statementを提供し、SSDFへの準拠を保証しています。これらのステートメントは、以下のような多くのSDL標準や業界にわたる業界固有の統合、コンプライアンス、認証をサポートするサプライチェーンやコンポーネントの保証をお客様に提供します。

• ISA/IEC 62443（運用技術）
• ISO/SAE 21434 UNECE WP.29 R155 およびISO 24089（車両サイバーセキュリティ）
• IEC 81001-5-1（医療）
• PCI-SSLC（決済カード）
• O-RAN セキュリティ要件仕様（通信）
• CIS – Control 16（航空宇宙および防衛）
• NIST サイバーセキュリティフレームワーク（CSF）（一般および政府機関）
• ISO 20243（信頼できるテクノロジープロバイダ）
• OWASP SAMM, BSIM（一般的なSDL成熟度）
   

標準製品に加え、ウインドリバーはお客様の業界の固有のニーズを満たす幅広い セキュリティサービス を提供しています。