ZEISS Microscopyにおけるサイバーセキュリティ

ベースライン要件

サイバーセキュリティ、データプライバシー、責任あるAI、およびオープンソースソフトウェア（FOSS）のコンプライアンスは、ZEISS Microscopyの製品開発における基本的な要素です。これらの要件は、製品開発プロセスの初期段階から定義され、製品ライフサイクル全体にわたって組み込まれています。

国際的な基準、法律、規制を遵守することに加え、ZEISSは統一されたガバナンスフレームワークを確立し、当社のポートフォリオ全体にわたって最先端の保護を提供しています。このフレームワークは、ベストプラクティス、進化する脅威の状況、EU AI規則などの規制の動向、そして特定の顧客および製品のセキュリティ目標に基づいています。

当社のガバナンスプログラムは以下を保証します。

• 「セキュア・バイ・デザイン」と「プライバシー・バイ・デザイン」：セキュアな設定、アクセス制御、暗号化、および継続的な脅威監視は、当社の開発プロセスにおいて不可欠な要素です
• 責任あるAI：AIシステムは統合されたワークフローを通じてリスクとコンプライアンスに関して評価され、グローバルな規制に準拠し、倫理的かつ合法的な使用を保証します
• FOSS準拠：オープンソースコンポーネントは、透明性、トレーサビリティ、法的整合性を確保するため、厳格なライセンス管理とセキュリティ制御により管理されています  

この包括的なアプローチにより、ZEISS Microscopyはセキュアでコンプライアンスに準拠した信頼性の高いソリューションを提供でき、接続されたデータ駆動型の世界でお客様やパートナーをサポートします。

脅威モデリング

製品デザインおよび製品アーキテクチャの定義に不可欠な要素として、製品デザインプロセスの初期段階で脅威モデリングを実施し、セキュリティ脅威、リスク、潜在的な脆弱性を特定します。

脅威モデリングでは、製品に適用される脅威を体系的に分析し、その製品に対する重要度を評価・格付けします。この重要度の格付けに基づいて、既知の弱点や脆弱性と組み合わせて、脅威がリスクに発展する前にそれに対応するために、製品のデザインやアーキテクチャを適宜調整します。

さらに、当社の「セキュア・バイ・デザイン」アプローチの重要な一環として、製品のデザインおよびアーキテクチャは専任のセキュリティ専門家がレビューします。

セキュア・コーディング

製品開発プロセス全体を通じてセキュア・コードレビューを実施し、製品ライフサイクルの早い段階で重要なセキュリティ上の欠陥や潜在的な脆弱性を確実に特定します。

さらに、コーディングにおけるベストプラクティスと最先端のサイバーセキュリティを確保するため、特別に訓練を受けたセキュリティエンジニアが製品開発チームの必須メンバーとして参加します。また、専任の高度な資格を持つセキュリティ専門家チームが、セキュリティに関するあらゆるご相談にお応えします。

静的・動的アプリケーションセキュリティテスト（SAST/DAST）

ホワイトボックスアプローチでソースコードの内容に焦点を当てた静的アプリケーション セキュリティテストと、ブラックボックスアプローチで脆弱性に焦点を当てた動的アプリケーション セキュリティテストは、開発プロセス全体を通じて実施され、ソフトウェアの品質に影響を与える可能性のある潜在的な脆弱性やエラーを特定します。
 

ソフトウェア構成分析（SCA）

オープンソースソフトウェアのリスクを最小限に抑えるため、既知の脆弱性に関するサードパーティ製ソフトウェアコンポーネントの監視をライフサイクル全体で実施します。
 

脆弱性テスト

製品のライフサイクル全体にわたって脆弱性をスキャンし、リスクとなりうる脆弱性を積極的に特定します。

ペネトレーションテスト

製品は、潜在的な脅威や脆弱性を特定するために、信頼できる第三者機関によってペネトレーションテストが実施されます。

継続的な脅威と脆弱性の管理

当社では、市場におけるサポート対象製品の脅威やリスクを検出・特定・優先順位付けするために、ソフトウェアの監視と評価を実施しています。脅威や脆弱性のスキャンを行い、その結果に基づいて新たな脅威やリスクを特定するための評価を実施します。これに続いて、適切なサイバーセキュリティレベルを維持するための対策を重要度に応じて定義します。

セキュリティパッチ管理

セキュリティパッチは、顧客の製品およびインフラストラクチャに対するリスクを軽減するため、重要度に応じて開発、テスト、リリースされます。