ソフトウェアサプライチェーンの危機

“サプライチェーン攻撃が収まる気配はない。だからChainguard Librariesを、コンソール利用者全員に無料で開放した。アカウントを作れば、マルウェア耐性のあるライブラリを2026年6月30日まで無料で使える。”

Chainguard公式（@chainguard_dev）2026年4月の投稿より（日本語訳）

2020年12月、世界中のIT部門に衝撃が走った。SolarWindsのソフトウェアアップデートにマルウェアが仕込まれ、米国政府機関を含む18,000以上の組織が影響を受けた。攻撃者はSolarWindsのビルドシステムに侵入し、正規のアップデートに見せかけてバックドアを配布したのだ。

2021年末にはLog4Shell脆弱性が発見された。Javaの広く使われているログライブラリLog4jに致命的なセキュリティホールが見つかり、世界中のサーバーの推定40%以上が影響を受けた。この脆弱性の修正には、多くの企業が数か月を要した。

これらの事件が明らかにしたのは、現代のソフトウェアが依存する「サプライチェーン」の脆弱さだった。現代のアプリケーションは、その90%以上がオープンソースソフトウェア（OSS）のコンポーネントで構成されている。自社が書いたコードではなく、世界中の開発者が公開したコードの上に成り立っているということだ。このサプライチェーンのどこか一箇所に脆弱性があれば、すべてが崩れる。

元Googleエンジニア5人の挑戦

Chainguard社は2021年10月、5人の元Googleエンジニアによって創業された。CEOのダン・ローレンク、CTOのマット・ムーア、エンジニアリングVPのスコット・ニコルズ、ディスティングイッシュトエンジニアのヴィル・アイカス、そしてCPOのキム・レワンドウスキー。全員がGoogleでKubernetesやコンテナセキュリティに関わっていたエンジニアだ。

ダン・ローレンクはGoogleでOpen Source Security Team（GOSST）のリードを務め、ソフトウェアサプライチェーンセキュリティの基盤を築いた人物だ。SigstoreやSLSAといったオープンソースのセキュリティフレームワークの生みの親でもある。意外なことに、ローレンクはコンピュータサイエンスではなく機械工学を専攻しており、Googleには2012年にApp Engine（Googleのクラウドアプリ実行基盤）チームから入社している。その後、コンテナ技術が台頭し始めた2015年頃から開発者向けセキュリティ基盤の構築に携わるようになった。

ローレンクが問題意識を持ったのは、GoogleでMinikube（Kubernetesをローカルで動かすツール）の開発を担っていたときのことだ。世界中の開発者にダウンロードされるそのコードを前に、「自分が悪意を持てば、誰にも気づかれずにマルウェアを仕込めた」と気づいた。ダウンロードした側がコードを一行一行検証するには何週間もかかる。その事実が、サプライチェーンの透明性を確保する仕組みづくりに向かわせた。

転機が訪れたのは2021年夏、テキサス州オースティンのレストランで友人たちと食事をしていたときのことだった。すでにGoogleを離れていた共同創業者のマット・ムーアから「新会社を作ろう」というメッセージが届き、ローレンクは翌日にGoogleへの退職通知を出し、新しいノートパソコンを購入してChainguardの構築に取りかかった。GoogleではSolarWindsと同様の攻撃を防ぐ内部システムをすでに構築していた2人にとって、「Googleの外でもこれを実現できる」という確信があった。

CPOのキム・レワンドウスキーも、この原点を共有する一人だ。フロリダ州立大学でコンピュータサイエンスを修めた後、ローレンス・リバモア国立研究所（Lawrence Livermore National Laboratory）でキャリアを始めた。同研究所では核融合シミュレーション用レーザー施設に関わる機密プロジェクトを担当し、国防総省の資金援助のもとトップシークレットの機密取扱許可を得て働いた。その後Googleでは Tekton、Security Scorecards、SLSAを共同創設した。Open Source Security Foundation（OpenSSF）の初代理事も務め、OSSセキュリティのインフラそのものを設計してきたエンジニアだ。

5人
Google出身の創業メンバー

892Mドル
累計調達額

35億ドル
最新評価額（Series D）

彼らがGoogleで学んだのは、セキュリティは後付けでは機能しないということだった。従来のセキュリティツールは、脆弱性が発見された後にスキャンして警告を出す「事後対応型」だった。しかし、Googleが内部で実践していたのは、そもそも脆弱性が入り込まない環境を作る「予防型」のアプローチだった。

Chainguardが守るもの

“Chainguard CVE Visualizationsが正式リリースされた。これを使うと、Chainguardのコンテナイメージを他の主要な選択肢と比べられる。深刻度別の脆弱性件数の推移、イメージ容量の差、脆弱性の数といった指標で比較できる。”

Chainguard公式（@chainguard_dev）2025年2月の投稿より（日本語訳）

Chainguardのコアプロダクトは「Chainguard Images」だ。セキュリティを最優先に設計されたコンテナイメージのライブラリで、企業が日々使うソフトウェアの土台そのものを作り直す試みだ。

コンテナイメージとは何か。現代のソフトウェア開発では、アプリケーションを「コンテナ」と呼ばれる独立した実行環境にパッケージングして動かすのが主流だ。DockerやKubernetesといった技術が広く普及し、ほぼすべてのクラウドアプリケーションがコンテナ上で動いている。

従来のコンテナイメージ vs Chainguard Images
従来
脆弱性だらけ
一般的なコンテナイメージには数百の既知の脆弱性（CVE）が含まれる。不要なパッケージが大量に同梱

vs
Chainguard
ゼロCVE
最小限のパッケージのみ。毎日自動リビルド。既知の脆弱性ゼロを維持。署名・SBOM付き

問題は、Docker Hubなどで公開されている一般的なコンテナイメージの多くが、数百もの既知の脆弱性（CVE）を含んでいることだ。例えば、広く使われているNode.jsの公式イメージには、ある時点で700以上のCVEが報告されていた。開発者はそのことすら知らずに、脆弱なイメージの上にアプリケーションを構築してしまう。

Chainguard Imagesは、この問題に根本から向き合う。まず、イメージに含めるパッケージを最小限に絞る。不要なシェル、パッケージマネージャ、ライブラリを排除し、アプリケーションの実行に必要なものだけを残す。次に、すべてのイメージを毎日自動的にリビルドし、最新のセキュリティパッチを即座に反映する。そして、各イメージにSBOM（ソフトウェア部品表）とデジタル署名を付与し、サプライチェーン全体の透明性を確保する。

0 CVE
既知の脆弱性数（目標値）

毎日
イメージの自動リビルド

1,000+
提供イメージ数

ARR 40Mドルから100Mドルへの1年

“なんともD（シリーズD）らしい話だ。Chainguardはシリーズdで3億5,600万ドルを調達した。新規のクライナー・パーキンスと既存のIVPが共同主導し、セールスフォース・ベンチャーズ、Datadogベンチャーズ、そして既存投資家の全社が参加した。累計調達額は6億ドルを超える。”

Chainguard公式（@chainguard_dev）2025年4月の投稿より（日本語訳）

Chainguardの成長速度は、エンタープライズSaaSとしては異例の速さだ。

  • 1
    2021年：創業・シード（500万ドル）5人の元Googleエンジニアが設立。Amplify Partners主導。SigstoreおよびSLSAプロジェクトをベースに事業化。
  • 2
    2022年：Series A（5,000万ドル）Sequoia Capital主導。Chainguard Imagesの開発を本格化。エンタープライズ向けの展開を開始。
  • 3
    2023年：Series B（6,100万ドル）Spark Capital主導（Sequoia参加）。Chainguard Imagesの正式リリース。金融・ヘルスケア・政府機関など規制産業からの需要が急増。
  • 4
    2024年：Series C（1億4,000万ドル）、評価額11億ドルLightspeed主導（Redpoint・IVP参加）。プロダクトラインを拡充し、エンタープライズ向け機能を強化。
  • 5
    2025年：Series D（3億5,600万ドル）、評価額35億ドルKleiner Perkins・IVP主導。Series D発表時点の累計調達額は6億1,200万ドル。その後同年10月に2億8,000万ドルの追加資金調達を経て、累計8億9,200万ドルに達した。ARRは約7倍の4,000万ドルに達し、2026年度中に1億ドル超えを見込む。

ARR（年間経常収益）が約7倍の4,000万ドル（約62億円）に達し、2026年度中に1億ドル（約155億円）超えを見込む。エンタープライズSaaSの世界では、「T2D3」（前年比3倍成長を2年、2倍成長を3年）が理想的な成長曲線とされるが、Chainguardはそれを大きく上回るペースで成長している。

この急成長の背景には、規制環境の変化がある。2021年のバイデン大統領による「サイバーセキュリティ強化に関する大統領令」をはじめ、各国政府がソフトウェアサプライチェーンのセキュリティを義務化する動きが加速している。SBOMの提出義務化やゼロトラストアーキテクチャの推奨など、Chainguardのプロダクトは市場の追い風を正面から受けている。

日本企業への示唆

“数週間から数時間へ。米陸軍のソフトウェア工場はChainguardと組み、脆弱性修正にかかる時間を短縮し、開発者の余力を4割取り戻し、手作業のイメージ修正をなくした。任務に不可欠なソフトウェアを、安全に速く届けられるようになった。”

Chainguard公式（@chainguard_dev）2025年8月の投稿より（日本語訳）

日本においても、ソフトウェアサプライチェーンセキュリティは急速に重要性を増している。経済産業省は2023年に「ソフトウェア管理に向けたSBOMの導入に関する手引き」を公開し、SBOMの活用を推進している。

日本企業の多くは、コンテナ化とクラウドネイティブへの移行が欧米に比べて遅れている。ただし、それは逆に言えば、移行時に最初からセキュアな基盤を選択できるチャンスでもある。レガシーシステムの刷新期に、Chainguardのようなセキュアなコンテナイメージを標準採用することで、技術的負債を抱えずに済む。

特に金融機関、医療機関、製造業など、規制の厳しい業界では、ソフトウェアサプライチェーンの可視化と管理が今後必須となる。日本市場には、Chainguardの思想を日本の規制環境に適応させるスタートアップの機会がある。

日本のスタートアップが学べること

Chainguardの軌跡は、技術的な専門性とタイミングの重要性を静かに示している。

  • 1
    「規制の波」をビジネスチャンスに変えるサプライチェーンセキュリティの義務化という規制の波が、Chainguardに巨大な市場を開いた。日本でも、個人情報保護法の改正、マイナンバー制度、デジタルガバナンス・コードなど、規制がテクノロジー導入を後押しする場面は多い。規制をコストではなく機会と捉える視点が重要だ。
  • 2
    オープンソースからビジネスを作るChainguardはSigstoreというOSSプロジェクトをベースに事業化した。オープンソースでコミュニティの信頼を築き、その上にエンタープライズ向けの商用プロダクトを構築する。このモデルはRed Hat、Elastic、HashiCorpなど多くの成功事例がある。
  • 3
    「見えない問題」を可視化するビジネスソフトウェアサプライチェーンの脆弱性は、事故が起きるまで見えない。Chainguardはこの「見えない問題」を可視化し、解決策を提供した。日本でも、ITインフラの老朽化、セキュリティの盲点、技術的負債など、「見えないリスク」を可視化するビジネスには大きな機会がある。

ARRが約7倍の4,000万ドル（約62億円）に成長した。累計調達額は8億9,200万ドル（約1,382億円）。評価額は35億ドル（約5,425億円）。これらの数字の裏にあるのは、5人のエンジニアが「ソフトウェアの安全な基盤を作りたい」という純粋な技術的使命感から始めたプロジェクトだ。

セキュリティは「コスト」ではなく「競争力」になる時代が来ている。Chainguardが証明したのは、「当たり前のことを当たり前にできる」基盤を提供することの巨大な価値だ。OSSのサプライチェーンを守るという地味だが不可欠な仕事が、35億ドルの企業を生んだ。

起業家への示唆

  • 1
    本職の傍らに種を撒くローレンクはGoogleの業務の中でSigstoreやSLSAを立ち上げ、オープンソースコミュニティの信頼を獲得した。独立後にその資産がそのまま事業の核になった。会社を辞める前に、次の事業の種となる技術・コミュニティ・知名度を積み上げておくことは、最も低コストな起業準備だ。
  • 2
    大企業の内側にある「次の課題」を持ち出すChainguardはGoogleが社内向けに構築したセキュリティの仕組みを、外部の企業でも使えるプロダクトに変えた。大企業でしか見えない内部課題と解決策を外に持ち出すことは、founder-market fit（創業者と市場の相性）として最も強い形態の一つだ。
  • 3
    「義務化」のタイミングで市場に入るChainguardはSBOM義務化や大統領令という規制の波に乗り、ARRを1年で約7倍に伸ばした。顧客が「使いたい」ではなく「使わなければならない」状況になる直前に参入していたことが、急成長の構造的な理由だ。規制の施行スケジュールを読むことは、参入タイミングを見極める有効な指標になる。

※本文中の円換算は1ドル=155円で計算した参考値です。為替レートにより実際の金額は変動します。

READ NEXT

関連記事

Anduril

兵器はコストが膨らむほど儲かる仕組みだった。自腹で作って売る流儀は、国防を変えられるのか

2026.03.18
Verkada

監視カメラだけが、時代に取り残されていた。人が巻き戻して探す前に、AIが異常を知らせる

2026.03.18
探しても、欲しい情報は見つからない。社内資料検索の理想のツール。

探しても、欲しい情報は見つからない。社内資料検索の理想のツール。

2026.03.18