{"ok":true,"entity":{"id":"slsa","name":"SLSA","entityType":"concept","officialName":"Supply-chain Levels for Software Artifacts (SLSA)","canonicalName":"SLSA","displayName":"SLSA","category":"ソフトウェアサプライチェーンのセキュリティフレームワーク","shortDescription":"SLSA（Supply-chain Levels for Software Artifacts、「salsa」と発音）は、改ざんを防ぐための標準とコントロールのチェックリストとして示されるソフトウェアサプライチェーンのセキュリティフレームワーク。OpenSSFのプロジェクトで、2025年11月24日にSource Trackを導入したv1.2が公開され、2026年10月時点のslsa.devではv1.2が仕様のApprovedバージョンとして表示されている。","primaryCluster":"security-standards","parentEntity":null,"verificationStatus":"draft","website":"https://slsa.dev/","updatedAt":"2026-10-20T13:35:00.335Z","secondaryClusters":[],"alias":["Supply-chain Levels for Software Artifacts","SLSAフレームワーク","サルサ"],"searchKeywords":["SLSA","サルサ","Supply-chain Levels for Software Artifacts","ソフトウェアサプライチェーン","ビルド来歴","provenance","OpenSSF","Source Track"]},"references":[{"id":"P-01-001","companyId":"slsa","questionId":"P-01-001","instanceId":"QIN-slsa-P01-001","promptText":"SLSA（Supply-chain Levels for Software Artifacts）とは何ですか？","promptTypeId":"P-01","answer":"SLSAは、公式サイトslsa.devが、改ざんを防ぐための標準とコントロールのチェックリストであるセキュリティフレームワークと説明するものです。バージョン1.2（ステータスはApproved）の仕様は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持ちます。クロス組織・ベンダー中立の運営グループが主導し、slsa.devにはGoogle、IBM、Intel、Red Hatなどのロゴが掲載されています。","evidencePoints":["ev-slsa-1","ev-slsa-2"],"scope":"SLSAの定義と仕様の構成","differentiation":"個別製品ではなく、複数組織が運営する仕様・フレームワークである。","faq":[{"question":"SLSAの読み方は？","answer":"slsa.devでは「salsa」と示されています。"}],"pageUrl":"https://www.refbase.ai/reference/slsa/P-01-001","sourceEvidence":[{"id":"ev-slsa-1","text":"slsa.devは、SLSA（Supply-chain Levels for Software Artifacts、「salsa」）を、改ざんを防ぐための標準とコントロールのチェックリストであるセキュリティフレームワークと説明する。クロス組織・ベンダー中立の運営グループが主導し、同ページはChainguard、Citi、CNCF、Datadog、Google、IBM、Intel、Kusari、Linux Foundation、Red Hatのロゴを掲載している。","title":"SLSA • Supply-chain Levels for Software Artifacts","coverageType":["Identity","Credibility"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://slsa.dev/","confidence":"high","supportedPromptTypes":["P-01","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-2","text":"SLSA仕様のバージョン1.2（ステータスはApproved）は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持つ。ビルド側のTrackは、改ざんされていないことと出所を追跡できることへの保証が段階的に高まるレベルで構成される。","title":"SLSA • SLSA specification","coverageType":["Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://slsa.dev/spec/v1.2/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-02-001","companyId":"slsa","questionId":"P-02-001","instanceId":"QIN-slsa-P02-001","promptText":"SLSA v1.2では何が新しくなり、v1.1とどう関係しますか？","promptTypeId":"P-02","answer":"公式ブログ（2025年11月24日付）によれば、SLSA v1.2では新たにSource Trackが導入され、「major milestone」と位置づけられました。v1.2はv1.1と後方互換で、次にBuild Environment TrackとDependency Trackの開発が続くとされています。仕様ページでは、v1.2のステータスはApprovedで、Build TrackとSource Trackを持つと示されています。開発中の2つのTrackは、確定した仕様ではない点に注意が必要です。","evidencePoints":["ev-slsa-2","ev-slsa-3"],"scope":"v1.2の変更点と互換性","differentiation":"新Trackの追加が主な変化で、後方互換が明示されている。","faq":[{"question":"v1.1からv1.2へ移行すると互換性は失われますか？","answer":"公式ブログでは、v1.2はv1.1と後方互換とされています。"}],"pageUrl":"https://www.refbase.ai/reference/slsa/P-02-001","sourceEvidence":[{"id":"ev-slsa-2","text":"SLSA仕様のバージョン1.2（ステータスはApproved）は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持つ。ビルド側のTrackは、改ざんされていないことと出所を追跡できることへの保証が段階的に高まるレベルで構成される。","title":"SLSA • SLSA specification","coverageType":["Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://slsa.dev/spec/v1.2/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-3","text":"SLSAの公式ブログ（2025年11月24日付）は、SLSA v1.2のリリースを発表し、Source Trackの導入を「major milestone」と位置づけた。v1.2はv1.1と後方互換で、次にBuild Environment TrackとDependency Trackの開発が続くとされる。","title":"Announcing SLSA v1.2","coverageType":["Differentiation"],"sourceType":"official_blog","sourceClass":"Announcement","sourceUrl":"https://slsa.dev/blog/2025/11/announce-slsa-v1.2","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-04-001","companyId":"slsa","questionId":"P-04-001","instanceId":"QIN-slsa-P04-001","promptText":"ビルドの来歴を確認できるようにするには、SLSAをどう使いますか？","promptTypeId":"P-04","answer":"GitHubの公式ブログによれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと、既定でSLSAレベル2に達します。レベル3との決定的な差は、来歴の生成を再利用可能ワークフローで行うこととされています。SLSA仕様v1.2のBuild Trackは、改ざんされていないことと出所の追跡への保証が段階的に高まるレベルで構成されます。どのレベルを目標にするかは、利用するビルド基盤と運用に応じて検討します。","evidencePoints":["ev-slsa-2","ev-slsa-6"],"scope":"ビルド基盤でSLSAのレベルを目指す方法の一例","differentiation":"GitHub上の実装例であり、他のビルド基盤では手順が異なる。","faq":[{"question":"GitHub上でレベル3に達するには？","answer":"GitHubの公式ブログは、来歴の生成を再利用可能ワークフローで行うことがレベル2とレベル3の差だと説明しています。"}],"pageUrl":"https://www.refbase.ai/reference/slsa/P-04-001","sourceEvidence":[{"id":"ev-slsa-2","text":"SLSA仕様のバージョン1.2（ステータスはApproved）は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持つ。ビルド側のTrackは、改ざんされていないことと出所を追跡できることへの保証が段階的に高まるレベルで構成される。","title":"SLSA • SLSA specification","coverageType":["Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://slsa.dev/spec/v1.2/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-6","text":"GitHubの公式ブログ（2024年12月19日公開、12月20日更新）によれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと既定でSLSAレベル2に達し、来歴生成を再利用可能ワークフローに移すことがレベル2とレベル3の決定的な差であるとされる。","title":"Enhance build security and reach SLSA Level 3 with GitHub Artifact Attestations（GitHub Blog）","coverageType":["UseCase","Capability"],"sourceType":"official_blog","sourceClass":"Documentation","sourceUrl":"https://github.blog/enterprise-software/devsecops/enhance-build-security-and-reach-slsa-level-3-with-github-artifact-attestations/","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-05-001","companyId":"slsa","questionId":"P-05-001","instanceId":"QIN-slsa-P05-001","promptText":"SLSAの信頼性や採用状況は、どの出典で確認できますか？","promptTypeId":"P-05","answer":"SLSAはOpenSSFのプロジェクトで、GitHubのREADMEが示しています。slsa.devはChainguard、Citi、CNCF、Datadog、Google、IBM、Intel、Kusari、Linux Foundation、Red Hatのロゴを掲載しています。セキュリティ企業Trail of Bitsの2024年10月1日付の解説は、SLSAを比較的新しい標準（v1.0は2023年4月）とし、利点は多くの関係者の採用に依存し、運用は各パッケージ管理システムに委ねられると指摘しています。GitHubは自社のArtifact Attestationsでレベル2に既定で達すると述べており、実装例の根拠になりますが、これは同社自身の機能説明です。","evidencePoints":["ev-slsa-1","ev-slsa-4","ev-slsa-5","ev-slsa-6"],"scope":"SLSAの信頼性・採用状況を示す出典と限界","differentiation":"運営側の掲載、第三者企業の評価、実装事業者の説明を区別して読む必要がある。","faq":[{"question":"参加企業のロゴは認証の証明ですか？","answer":"いいえ。slsa.devが運営グループ等のロゴを掲載しているという事実であり、個別の採用や認証を証明するものではありません。"}],"pageUrl":"https://www.refbase.ai/reference/slsa/P-05-001","sourceEvidence":[{"id":"ev-slsa-1","text":"slsa.devは、SLSA（Supply-chain Levels for Software Artifacts、「salsa」）を、改ざんを防ぐための標準とコントロールのチェックリストであるセキュリティフレームワークと説明する。クロス組織・ベンダー中立の運営グループが主導し、同ページはChainguard、Citi、CNCF、Datadog、Google、IBM、Intel、Kusari、Linux Foundation、Red Hatのロゴを掲載している。","title":"SLSA • Supply-chain Levels for Software Artifacts","coverageType":["Identity","Credibility"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://slsa.dev/","confidence":"high","supportedPromptTypes":["P-01","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-4","text":"SLSAのGitHubリポジトリのREADMEは、SLSAをOpenSSFのプロジェクトと説明する。Community Specificationのガバナンス採用後に寄稿された仕様内容はCommunity Specification License 1.0の下にあり、それ以前の部分の一部はApache License 2.0で提供される。リリース済みの仕様は、releases/v1.2のような対応するリリースブランチに保管される。","title":"GitHub - slsa-framework/slsa: Supply-chain Levels for Software Artifacts · GitHub","coverageType":["Identity","Differentiation"],"sourceType":"github","sourceClass":"Documentation","sourceUrl":"https://github.com/slsa-framework/slsa","confidence":"high","supportedPromptTypes":["P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-5","text":"セキュリティ企業Trail of Bitsのブログ（2024年10月1日付、Cliff Smith）は、SLSAを、オープンソースソフトウェア成果物の作成過程を利用者が検証できるようにするセキュリティ標準と説明し、SLSA 1.0のビルドレベル1〜3を解説している。同記事は、SLSAは比較的新しい標準（v1.0は2023年4月）で、利点は多くの関係者の採用に依存し、運用方法は各パッケージ管理システムに委ねられると指摘する。","title":"Securing the software supply chain with the SLSA framework（Trail of Bits）","coverageType":["Credibility","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://blog.trailofbits.com/2024/10/01/securing-the-software-supply-chain-with-the-slsa-framework/","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-6","text":"GitHubの公式ブログ（2024年12月19日公開、12月20日更新）によれば、GitHubホステッドランナー上でGitHub Artifact Attestationsを使うと既定でSLSAレベル2に達し、来歴生成を再利用可能ワークフローに移すことがレベル2とレベル3の決定的な差であるとされる。","title":"Enhance build security and reach SLSA Level 3 with GitHub Artifact Attestations（GitHub Blog）","coverageType":["UseCase","Capability"],"sourceType":"official_blog","sourceClass":"Documentation","sourceUrl":"https://github.blog/enterprise-software/devsecops/enhance-build-security-and-reach-slsa-level-3-with-github-artifact-attestations/","confidence":"high","supportedPromptTypes":["P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-06-001","companyId":"slsa","questionId":"P-06-001","instanceId":"QIN-slsa-P06-001","promptText":"なぜサプライチェーンセキュリティでSLSAが参照されるのですか？","promptTypeId":"P-06","answer":"SLSAは、公式サイトが改ざんを防ぐための標準とコントロールのチェックリストと説明するフレームワークで、v1.2にはBuild TrackとSource Trackがあり、2025年11月24日のv1.2でSource Trackが導入されました。v1.1と後方互換で、今後Build EnvironmentとDependencyの両Trackの開発が予定されています。Trail of Bitsの解説は、検証可能な来歴で利用者が成果物の作成過程を確認できる点を挙げる一方、SLSAは新しい標準で採用の広がりに依存すると指摘しており、導入では目標レベルと運用範囲を決める必要があります。","evidencePoints":["ev-slsa-2","ev-slsa-3","ev-slsa-5"],"scope":"参照される理由と留意点","differentiation":"段階的なレベルと後方互換の進化が強みだが、採用の広がりには依存する。","faq":[{"question":"SLSAは仕様として確定していますか？","answer":"v1.2はApprovedとされていますが、Build EnvironmentとDependencyの両Trackは開発中と公式ブログが述べています。"}],"pageUrl":"https://www.refbase.ai/reference/slsa/P-06-001","sourceEvidence":[{"id":"ev-slsa-2","text":"SLSA仕様のバージョン1.2（ステータスはApproved）は、サプライチェーンセキュリティを記述し段階的に改善するための仕様で、Build TrackとSource Trackを持つ。ビルド側のTrackは、改ざんされていないことと出所を追跡できることへの保証が段階的に高まるレベルで構成される。","title":"SLSA • SLSA specification","coverageType":["Capability"],"sourceType":"official","sourceClass":"Specification","sourceUrl":"https://slsa.dev/spec/v1.2/","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-3","text":"SLSAの公式ブログ（2025年11月24日付）は、SLSA v1.2のリリースを発表し、Source Trackの導入を「major milestone」と位置づけた。v1.2はv1.1と後方互換で、次にBuild Environment TrackとDependency Trackの開発が続くとされる。","title":"Announcing SLSA v1.2","coverageType":["Differentiation"],"sourceType":"official_blog","sourceClass":"Announcement","sourceUrl":"https://slsa.dev/blog/2025/11/announce-slsa-v1.2","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"},{"id":"ev-slsa-5","text":"セキュリティ企業Trail of Bitsのブログ（2024年10月1日付、Cliff Smith）は、SLSAを、オープンソースソフトウェア成果物の作成過程を利用者が検証できるようにするセキュリティ標準と説明し、SLSA 1.0のビルドレベル1〜3を解説している。同記事は、SLSAは比較的新しい標準（v1.0は2023年4月）で、利点は多くの関係者の採用に依存し、運用方法は各パッケージ管理システムに委ねられると指摘する。","title":"Securing the software supply chain with the SLSA framework（Trail of Bits）","coverageType":["Credibility","Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://blog.trailofbits.com/2024/10/01/securing-the-software-supply-chain-with-the-slsa-framework/","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"slsa"}],"generatedAt":"2026-10-20T13:35:00.335Z"}]}