デジサート、Software Trust ManagerにSecure Releases機能を追加、ソフトウェアリリース前後のリスク管理を強化

※本プレスリリースは、2026年9月30⽇に⽶国ユタ州リーハイで配信されたプレスリリースの抄訳版です。

― SBOMと脆弱性情報をコード署名・リリース管理に連携し
影響を受けるソフトウェアの特定とセキュリティポリシーの適用を支援―

デジタルトラストの世界的リーディングプロバイダーである米デジサート・インク（本社：ユタ州リーハイ、非公開企業、以下 デジサート）は本日、 DigiCert Software Trust Manager（以下 Software Trust Manager）の新機能「Secure Releases」を発表しました。Secure Releasesは、ソフトウェアのリリース時だけでなく、出荷後に新たな脆弱性が発見された場合にも、その影響やリスクを評価できるよう支援する機能です。DigiCert ONEプラットフォームの一部として、対応するGitHubのリリース情報、ソフトウェア部品表（SBOM）、既知の脆弱性とその深刻度、セキュリティスキャンの結果を一元的に管理します。これにより開発・セキュリティチームは、脆弱性の影響を受けるソフトウェアのバージョンを特定し、その情報をコード署名やリリース管理のプロセスに活用できます。

コード署名によってソフトウェアの署名者を確認し、署名後に改竄されていないことを検証できます。しかし、正しく署名されたソフトウェアであっても、出荷後に使用しているライブラリやその他の構成要素に新たな脆弱性が発見されることがあります。影響を受けるソフトウェアのバージョンを特定するには、ソースコードのリポジトリ、SBOM、脆弱性データベース、セキュリティスキャンツールなどに分散した情報を照合する必要があります。Secure Releasesは、こうした情報をソフトウェアのリリース単位で集約し、対応が必要なバージョンの特定と、適切な対策の実施を支援します。

Software Trust Managerは、Secure Releasesなどの各種機能により、次のことを可能にします。

• ソフトウェア部品表と暗号資産一覧への署名：SBOMおよび暗号資産部品表（CBOM）に電子署名を付与することで、受領者がその発行元と改ざんの有無を検証できるようにします。
• ソフトウェアのリリースに伴うリスクの可視化と監視：各リリースに含まれる依存コンポーネント、SBOM、既知の脆弱性とその深刻度、対応するセキュリティスキャンの結果を確認できます。脆弱性情報が新たに更新された場合には、新たなリスクを特定します。
• 脆弱性の影響を受けるソフトウェアの特定と対処：脆弱性のあるコンポーネントを含むソフトウェアリリースを特定し、担当チームに通知します。さらにPremiumプランでは、脆弱性が修正されたコンポーネントのバージョンが利用可能な場合、そのバージョンを特定できます。
• リリース時のセキュリティポリシーの適用：脆弱性およびSBOMに関するセキュリティ要件を設定し、対応する環境では、要件が満たされないソフトウェアの署名やリリースをブロックできます。
• セキュリティ評価・検証結果の共有：セキュリティ評価結果、VEX（脆弱性の影響や悪用可能性に関する情報）ステートメント、SLSA(※1)に基づく証明情報、SARIF形式(※2)のレポートに署名し、顧客や監査担当者と共有できます。

デジサートの最高製品責任者（CPO）であるディーピカ・チョーハン（Deepika Chauhan）は、次のように述べています。

「コード署名は、コードの署名者や改ざんの有無を証明しますが、ソフトウェアに含まれるライブラリなどの依存コンポーネントに新たな脆弱性が発見されたかどうかまでは分かりません。Secure Releasesは、これらの情報を統合し、リリースに伴うリスクをコード署名やソフトウェアの提供を制御するポリシーと連携させます。これにより組織は脆弱性などのリスク状況の変化へ迅速に対応し、セキュリティ要件を満たさないソフトウェアのコード署名やリリースを阻止できるようになります」

Secure Releasesは、Software Trust Manager Essentials、Advanced、およびPremiumの各プランにて利用可能です。Essentialsは、特定の時点におけるリリースリスクの評価が可能です。AdvancedとPremiumでは、脆弱性情報の変更に応じて、リリースごとのSBOM分析結果を継続的に監視する機能が追加されます。

Premiumではさらに、脆弱性が修正されたコンポーネントの新しいバージョンが利用可能な場合、そのバージョンを提案します。また、ソフトウェアが設定されたセキュリティ要件を満たしていない場合には、コード署名やリリースをブロックすることも可能です。

DigiCert Software Trust ManagerのSecure Releasesの詳細についてはこちらをご覧ください。

https://www.digicert.com/jp/software-trust-manager

関連ブログ：昨日のコードが今日の脅威になるとき

※1 SLSA（Supply-chain Levels for Software Artifacts）：ソフトウェアの開発・ビルド工程におけるサプライチェーンの安全性を高めるためのセキュリティフレームワーク。
※2 SARIF（Static Analysis Results Interchange Format）：静的解析などのセキュリティ分析結果をツール間で共有するための標準フォーマット。

デジサート（DigiCert、Inc.）について:

米デジサート・インク（本社：ユタ州リーハイ、非公開企業）は、インターネット上で人と企業が電子的な信頼でつながることができるようにする、デジタルトラストの世界的なリーディング・プロバイダーです。そのデジタルトラストを強固にするプラットフォームがDigiCert^® ONEです。パブリックトラストとプライベートトラストの幅広いニーズをめぐって一元的な可視化と制御を実現し、ウェブサイト、企業のアクセスと通信、ソフトウェア、ID、コンテンツ、デバイスを保護します。デジサートは、受賞歴のあるソフトウェアと、標準、サポート、運用に関する業界のリーダーシップとを結び付けており、全世界の主要企業に選ばれるデジタルトラストプロバイダーです。

また、デジサート・ジャパン合同会社は、⽶デジサート・インクの100%間接保有⼦会社です。

最近のデジサートに関するニュースや情報は、デジサートのwebサイトhttps://www.digicert.com/jp/news#pr、もしくは@digicert（英語）をご覧ください。