ソフトウェアサプライチェーンセキュリティ

ソフトウェアサプライチェーンセキュリティに関する包括的な3冊シリーズ。脅威、防御、ガバナンスをカバーします。このオープンソース原稿は、セキュリティ専門家、開発者、組織のリーダーに、現代のソフトウェア開発プラクティスを保護するための実践的なガイダンスを提供します。

本書シリーズ

ブック1: ソフトウェアサプライチェーンの理解

サプライチェーンセキュリティを理解するための基礎を提供します。現代のソフトウェアの構築方法、脅威の状況、歴史的な攻撃、詳細な攻撃パターン。

• パートI - 基礎 (第1-4章): 現在のソフトウェアの構築方法、サプライチェーン脅威の概要、歴史的な攻撃、エコシステム固有のリスク
• パートII - 攻撃パターン (第5-10章): 悪意のあるパッケージ、依存関係混乱、タイポスクワッティング、ビルドシステム攻撃、内部関係者による脅威、ソーシャルエンジニアリング

ブック2: ソフトウェアサプライチェーンの保護

脅威の知識を、依存関係の選択から本番デプロイメントまでの開発ライフサイクル全体にわたる実践的な防御に変換します。

• パートIII - リスク評価とテスト (第11-15章): リスク測定、SBOM、依存関係管理、セキュリティテスト、レッドチーミング
• パートIV - 防御と対応 (第16-20章): 開発環境、CI/CDパイプライン、配布チャネルの保護、インシデント対応、危機コミュニケーション
• パートV - 防御の運用化 (第21-22章): セキュリティプログラムの構築とプラットフォームエンジニアリングアプローチ

ブック3: ソフトウェアサプライチェーンの統治

サプライチェーンセキュリティの人間的、政策的、戦略的側面（組織のコミットメント、規制遵守、経済的インセンティブ、業界協力）に対処します。

• パートV - 人と組織 (第23-25章): トレーニングとセキュリティ文化、オープンソースメンテナーの視点、ベンダーリスク管理
• パートVI - 規制と法務 (第26-29章): 規制環境（EO 14028、EU CRA）、コンプライアンスフレームワーク、法的考慮事項、業界イニシアチブ
• パートVII - コンテキストと未来 (第30-33章): サプライチェーンセキュリティの経済学、地政学的考慮事項、他産業からの教訓、将来の方向性

リポジトリ構造

contents/
├── book1/                 # Chapters 1-10
│   └── chapter-XX/        # Each chapter directory contains:
│       ├── README.md      #   Chapter overview
│       ├── ch-X.Y.md      #   Section files
│       └── img/           #   Chapter images
├── book2/                 # Chapters 11-22
├── book3/                 # Chapters 23-33
├── appendices/            # Appendices A-H
└── frontmatter/           # Author info, legal notices, templates

scripts/
├── build-all.sh           # Build all three books
├── cover-generator.py     # Generate book covers
├── custom_template.latex  # Template for building PDF
└── verify_urls.py         # URL verification utility

PDFのビルド

前提条件

• Pandoc (ドキュメントコンバータ)
• XeLaTeX (PDF生成)
• ImageMagick (画像変換)
• Python 3.x (カバー生成用)

ビルドコマンド

3冊すべてをビルド:

./scripts/build-all.sh

個別の書籍をビルド:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

出力PDFは scripts/ ディレクトリに生成されます。

付録

貢献

貢献を歓迎します。貢献する際は：

• セキュリティトピックに関する技術的正確性を維持する
• 事実の主張や統計には出典を明記する
• AIを使用してコンテンツを生成しても構いませんが、プルリクエストを送る前に内容を読み理解してください。
• 一貫した用語を使用する（付録A: 用語集を参照）
• 既存の章/セクション構造に従う（ch-X.Y.md 形式）
• 実世界の例は検証可能な詳細（名前、日付、影響）を含めて具体的に保つ

リポジトリには、Markdown品質と Zensical 互換性のための自動リンティングが含まれています。詳細なガイドラインは CONTRIBUTING.md を、コンテンツ基準は CLAUDE.md を参照してください。

ライセンス

この作品は MITライセンス の下でライセンスされています。帰属表示を条件に、商用目的を含め、コピー、変更、配布、使用が可能です。