オープンソースソフトウェアの回復力とセキュリティ向上のために取るべき主要行動について合意するために、37社90人以上の企業幹部、NSC、ONCD、CISA、NIST、DOE、OMBから政府指導者を集めました。2022年1月13日に開催されたホワイトハウス国家安全保障会議による第1回サミットに続くものです。FoundationとOpenSSFにより招集されました。セキュリティに幅広く対応する、これまでにない計画を策定しました。計画は、計画が特定する10項目の主要な問題に対して十分に精査された解決策を迅速に進めるために、2年間で約1億5,000万ドルのファンディングを概算しています。10項目の投資の流れには、より迅速な改善と、よりセキュアな未来への強固な基盤作り両方のための具体的なアクションプランが含まれています。参加組織の一部は、計画の実施に向けた最初の資金提供を誓約するために集まりました。これらの企業は、Amazon、Ericsson、Google、Intel、Microsoft、VMWareであり、3,000万ドル以上を約束しています。計画がさらに進展するにつれて、より多くの資金が特定され、個々の流れが合意されたときに作業が開始されます。ソフトウェアに対して行っている既存の投資に基づいています。Foundationのステークホルダーの非公式な調査によると、1億1000万ドル以上を費やし、オープンソースソフトウェアランドスケープの保護に焦点を当てた100人近くのフルタイム相当の従業員を雇用しています。この計画はそれらの投資に追加されます。安全なソフトウェア開発の基本となる教育と認定を、プロフェッショナルなOSS開発者のための新しい標準にする。コンポーネントについて、ベンダーニュートラルで客観的な指標に基づく公開のリスク評価ダッシュボードを確立する。ソフトウェアリリースにおけるデジタル署名の採用を促進する。メモリセーフでない言語を置き換えることにより、多くの脆弱性の根本原因を排除する。脆弱性検出と修正の強化メンテナーや専門家による新しい脆弱性の発見を加速させる。プロジェクトが危機的状況のときに支援する「ボランティア消防士」のセキュリティ専門家部隊を設立する。コンポーネント200件について、サードバーティによるコードレビュー(および必要な修正作業)を毎年実施する。ソフトウェアを決定するのに役立つ調査を改善する。SBOMツールとトレーニングを改善し普及を促進する。10項目計画の概要セキュリティ教育:安全なソフトウェア開発の基本となる教育と認定を、すべての人に提供する。リスク評価:トップ1万件(またはそれ以上)のOSSコンポーネントについて、一般に公開され、ベンダーニュートラルで、客観的指標に基づくリスク評価ダッシュボードを確立する。リリースにおけるデジタル署名の採用を加速させる。メモリの安全性:メモリセーフでない言語を置き換えることにより、多くの脆弱性の根本原因を排除する。インシデント対応チーム:脆弱性対応の重要な時期に、オープンソースプロジェクトを支援できるセキュリティ専門家の集団)を設置する。スキャン機能の向上:高度なセキュリティツールと専門家によるガイダンスを通じて、メンテナーや専門家による新しい脆弱性の発見を加速させる。コード監査:最も重要なOSSコンポーネントの最大200件について、サードパーティのコードレビュー(および必要な修正作業)を年に1回実施する。コンポーネントを決定するのに役立つ調査を改善する。SBOMの普及:SBOMツールとトレーニングを改善して採用を促進する。「バイデン大統領の大統領令から1周年を迎えた今日、私たちは実行可能な計画で対応するためにここにいます。オープンソースは私たちの国家安全保障にとって重要な要素であり、今日のソフトウェアのイノベーションに何十億ドルも投資されている基礎となるものだからです。私たちは、集団でサイバーセキュリティの回復力を高め、ソフトウェア自体への信頼を向上させるという共通の義務を負ってます。この計画は、私たちの統一された声と共通の行動への呼びかけを表しています。これからの最重要課題はリーダーシップです。「私たちがここで一緒にやっていることは、何が問題でそれを解決するために何ができるかという一連のアイデアと原則を集約することです。私たちがまとめた計画は、その開始点として地上に立てた10本の旗です。計画を行動に移せるようなさらなる意見とコミットメントを得ることを切望しています。さまざまな商標を登録および使用しています。商標一覧はこちらのページでご確認いただけます。