ソフトウェアサプライチェーンを守るグーグルの「Software Delivery Shield」

　ソフトウェアを作るのは難しい仕事であり、さまざまなツールやライブラリー、その他のコンポーネントを必要とする。これらは「ソフトウェアサプライチェーン」と呼ばれている。サプライチェーンのどこかに弱い部分があれば、サイバーインシデントに繋がり、重大な結果を招いてしまう可能性がある。例えば2020年には、SolarWindsのセキュリティ侵害によって、米国の政府機関を含むさまざまな組織が被害を受けた。

　Google Cloudは米国時間10月11日、顧客がソフトウェア開発プロセスの安全を確保するために使える一連のツールに関する情報を公開した。自社カンファレンス「Google Cloud Next」で発表した「Software Delivery Shield（ソフトウェア デリバリー シールド）」だ。

提供：Google

　Software Delivery Shieldは、開発者、DevOpsチーム、セキュリティチーム向けに設計された、フルマネージドソフトウェアツールキットだ。このソリューションには、ソフトウェア開発の5つの異なる領域（アプリケーション開発、ソフトウェアの「供給」、継続的インテグレーション（CI）および継続的デリバリー（CD）、本番環境、ポリシー）をカバーするサービスが含まれている。企業はパッケージ全体を使う必要はなく、必要なツールだけを選ぶこともできる。

　Googleは、このパッケージの一部として、フルマネージド開発環境である「Cloud Workstations」と呼ばれる新たなサービスのプレビューも開始した。Cloud Workstationsは、ブラウザーからアクセスできるカスタマイズ可能な開発環境で、IT部門やセキュリティ管理者がGoogle Cloud上に環境をプロビジョニングし、規模の拡大や管理をすることができる。この環境には、同社が提供している「VPC Service Controls」や、ソースコードのストレージをローカルに持たない、プライベートなネットワークの入出力、強制イメージアップデート、IAMのアクセスポリシーなどのさまざまなセキュリティ対策が組み込まれている。

　またSoftware Delivery Shieldには、DevOpsチームがビルドアーティファクトの管理や安全性確保を行うための機能である「Artifact Registry」や、CI/CDパイプラインの安全を確保するためのプラットフォームである「Cloud Build」や「Cloud Deploy」、ランタイム環境の安全性を確保する「Google Kubernetes Engine（GKE）」や「Cloud Run」などのプラットフォームが含まれている。

　Google Cloudは同日、同社の製品ポートフォリオである「Confidential Computing」の新製品「Confidential Space」をはじめとする、その他のセキュリティツールも発表した。Google Cloudは転送中・保存中のすべてのデータをデフォルトで暗号化しているが、Confidential Computingはさらに、データを暗号化したまま処理することを可能にするソリューションだ。

　Confidential Spaceは、データの提供者に対して、提供データをどのように使用するか、どのようなワークロードに処理を許可するかを管理する機能を提供する。ワークロードの運用者やクラウドプロバイダーは、そのワークロードに一切影響を及ぼすことができない。このツールは、秘密を要するデータ（医療情報や個人を特定可能な情報、知的財産など）をリスクなしに共有したい場合に役に立つ。例えば、医療関連企業が医薬品の共同開発をしたい場合などがこれにあたる。

　Googleはまた、サイバー脅威の検出、調査、対応を行うためのソフトウェアスイートである「Chronicle Security Operations」を発表した。この製品には、GoogleがMandinantを買収したことで獲得したインシデント管理機能や、Siemplifyの買収で得たSOAR（Security Orchestration, Automation and Response）関連のツールなどを含む、さまざまなインシデント対応のための機能がまとめられている。