テーマ： compliance
-
監査ログ: 何を記録し、どう改ざんから守り、誰が読めるようにするか
監査ログは、誰が・いつ・何を・どのオブジェクトに対して行い・その結果はどうだったかに答える。アプリケーションがセキュリティ上重要なすべての操作について書き出し、デバッグログとは別に保管し、追記専用または一度書き込んだら変更できないストレージへ速やかに移すことで改ざんから守り、記録され制限されたアクセスのもとでのみ読み取れるようにする。
-
製造者のCRA脆弱性対応フローを整備する：受付、証拠、報告期限の管理
脆弱性の受付と構成要素の記録をCRAの報告判断につなげる準備手順案である。2026年にすでに適用されている報告義務と、2027年12月に適用される、より広範な脆弱性対応要件を区別する。
-
Checking an operating system's support lifecycle before automating against it
Automating patch, upgrade or compliance workflows against a host that has already passed end-of-life produces false confidence: no more security fixes are coming regardless of what the automation reports. This methodology lists where each major vendor publishes lifecycle dates and how to fold an EOL check into a pre-flight step.
-
Choosing an open-source licence
Permissive licences (MIT, Apache-2.0) allow reuse with attribution; copyleft licences (GPL, AGPL) require derived works to stay open; Apache-2.0 adds a patent grant. Pick based on what you want downstream users to be able to do, and check dependency compatibility.
-
Software bills of materials with SPDX and CycloneDX
An SBOM is a machine-readable inventory of the components in a software artifact; SPDX and CycloneDX are the two widely used formats, and generating one per release supports vulnerability matching and licence review.
-
2026年9月からのCRA報告義務：報告要件、期限、Single Reporting Platform
CRAは製造者に対し、実際に悪用されている製品の脆弱性と、製品のセキュリティに影響する重大なインシデントの報告を求めている。どちらにも24時間と72時間の段階があるが、最終報告の期限は異なる事象を起点に計算する。
-
Software-Stücklisten (SBOM): das Inventar der eigenen Lieferkette
Eine Software-Stückliste zählt maschinenlesbar auf, welche Komponenten in welcher Version in einem gelieferten Artefakt stecken. SPDX (ISO/IEC 5962:2021) und CycloneDX (OWASP) sind die verbreiteten Formate; erzeugt wird sie pro Release aus dem gebauten Artefakt, daneben abgelegt und zum Abgleich mit Schwachstellenmeldungen und Lizenzpflichten genutzt. Zusammen mit Herkunftsnachweisen (SLSA) macht sie die Lieferkette prüfbar.
-
CIS Benchmarks and DISA STIGs as a hardening baseline: what they are and how to apply them selectively
CIS Benchmarks and DISA STIGs are two independently maintained sets of configuration recommendations; both offer selectable profile levels rather than one fixed target. Applying a profile wholesale without recording exceptions is a common way hardening work breaks a production service.
-
スイスのサイバー攻撃報告とCRA：運用者と製品の製造者で異なる義務
スイスの重要インフラに関する報告は、対象となる運用者への、要件を満たすサイバー攻撃を扱う。CRAは、スイスの製造者を含め、EU市場に製品を供給する製造者を対象としており、初期の期限が似ていても、報告先や報告要件を相互に置き換えることはできない。
-
CRAとオープンソース：コントリビューター、製造者、スチュワードの区別
オープンソースライセンスだけではCRA上の義務は決まらない。規則は、製品の商業的な供給、自らの責任範囲外にあるソフトウェアへの貢献、オープンソースソフトウェア・スチュワードによる継続的な支援を区別しており、スチュワードの第24条上の義務は2027年12月に始まる。
-
Scanning a Linux host against a baseline with OpenSCAP
oscap xccdf eval runs a SCAP Security Guide profile against a live host or an offline image and writes a human-readable report; reviewing the generated remediation script before running it is what keeps an automated scan from becoming an automated outage.
機械可読： JSON