継続性フィールドガイド / 03
依存関係を維持する
明確に。
サードパーティの重要コンポーネントを特定し、変更・劣化・利用不能が発生した際の対応方法を合意するための実践的な継続性ガイドです。脆弱性スキャンやサプライヤー保証を目的とするものではありません。
これを使って: リリース前に依存範囲、所有者、バージョン決定、フォールバック前提をレビュー可能にするために使用します。
方法 / ソース限定
次の 既知のステップに取り組む。
- 顧客に影響する依存関係を列挙します：アプリケーションパッケージ、ビルドツール、外部 API、配信プロバイダ、運用サービスなど。各重要依存関係に責任者を割り当てます。
- リリース証拠としてバージョンまたはサービス構成を記録します。承認済みの lockfile、出自情報、サプライヤーレビューの管理策を利用し、未審査の差替えは避けます。
- 各依存関係について、遅延または利用不可になった場合の顧客影響と、存在する場合は承認済みの優雅な劣化（graceful-degradation）またはエスカレーション手段を文書化します。
- サプライヤーからの通知や観測された挙動は承認されたチャネルで確認し、インシデント中に無許可で依存関係を変更するのではなく、通常のレビュー済みリリース経路で変更を行ってください。
検証 / 依存する前に
各重要依存関係に責任者、真実のソース（source of truth）、および現在のリリース参照があることを確認してください。
計画中のリリース依存関係セットを、チーム承認のツールを用いてレビュー済みの lockfile やプラットフォーム記録と照合してください。
単一依存関係の中断を想定したテーブルトップ演習を行い、誰が判断するか、どの顧客挙動が許容されるか、いつエスカレーションするかを特定してください。
権威 / レビュー
ソースノート、 借用された確実性ではありません。
計画の根拠: OWASP のソフトウェアサプライチェーンに関するガイダンス
- OWASP — Software Supply Chain Security Cheat Sheet ↗OWASP は依存関係のインベントリ化、適切な場合の自動 SBOM 生成、監視、バージョン固定、ビルドツールの在庫管理、および出自（provenance）管理を推奨しています。
コンテキスト / 引き継ぎをつなげておく
作成者： SIU Enablement の編集草案；ソースに基づく運用ガイダンス。 レビュー者： エンジニアリング、プラットフォーム、セキュリティ、サプライヤーの責任者が重要依存関係リストをレビューします。 再検証： 四半期ごとおよび依存関係、ビルド、サプライヤー、フォールバックモードに変更がある前に再検証してください。