連載「技術者が知るべきSBOM活用法」 第7回
阪間 基秀
今回は、「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver 2.0」より、SBOM対応モデルについて、記載します。
近年、SBOM（Software Bill of Materials）の重要性が高まる中、単にSBOMを生成できるだけでなく、その情報を活用して継続的な脆弱性管理や構成管理を実施できるかが、ソフトウェア供給者の評価ポイントとなりつつあります。
SBOMの生成・管理・更新・脆弱性対応といった各プロセスにおける対応範囲や成熟度を可視化することで、利用者や調達者はソフトウェアの管理レベルを客観的に比較・評価できるようになります。
その結果、脆弱性管理やサプライチェーンリスク管理を適切に実施している製品が市場において高く評価されるようになり、ソフトウェア取引における新たな選定基準として機能することが期待されます。
また、このような評価の仕組みが普及することで、供給者にとってSBOM対応への投資効果が明確となり、SBOMへの取り組みを進めるインセンティブ向上につながります。
さらに、市場全体でSBOMの活用が促進されることで、単なる「SBOMを作成するだけ」の対応から、 「SBOMを活用して継続的にソフトウェアを管理する」対応へと発展し、SBOM対応レベルの適正化やソフトウェアサプライチェーン全体のセキュリティ向上が期待されます。
SBOM（Software Bill of Materials）の活用が進む中で、単にSBOMを作成・提供するだけでなく、どの範囲まで部品管理や脆弱性管理を実施しているかを明確に示すことが重要になっています。
その考え方を具体化したものが「SBOM対応モデル」です。
SBOM対応モデルは、SBOM可視化フレームワークを活用し、産業分野や製品用途ごとのリスク特性に応じて、SBOM対応範囲をどこまで実施すべきかを整理したモデルです。
部品の特定、SBOMの生成・更新、脆弱性情報との照合、継続的なリスク管理などの項目について、推奨される対応範囲や要求される対応範囲の参考例を示すことで、供給者と調達者の双方が求める管理レベルを共有しやすくなります。
一方で、求められるSBOM対応の内容は業界によって大きく異なります。
例えば、社会インフラや医療機器、自動車など高い安全性や信頼性が求められる分野と、比較的リスクの低いシステムでは、想定される脅威や適用される法規制が異なります。
また、SBOM対応範囲の拡大に伴い、脆弱性管理の精度やソフトウェアサプライチェーンの透明性向上といった効果が得られる一方で、運用負荷やコストも増加します。
そのため、SBOM対応モデルは画一的なものではなく、各分野のリスクや制度要件に応じて異なる形で定義されることが想定されています。
このようなSBOM対応モデルが普及すると、ソフトウェアの受発注においては、ソフトウェア本体だけでなく、SBOMやその対応範囲、対応レベルの情報を付随して提供することが一般的になると考えられます。
調達者は、価格や機能だけでなく、SBOM対応レベルも含めて複数製品を比較・評価できるようになり、脆弱性管理やソフトウェア管理が充実した製品を選択しやすくなります。
その結果、市場においてはSBOM対応レベルの高い製品が適切に評価される仕組みが形成され、ソフトウェア供給者にとってもSBOM対応への投資効果が見えやすくなります。
これは、供給者のSBOM対応に対するインセンティブを高め、ソフトウェアサプライチェーン全体における
SBOMの普及と管理レベルの向上につながることが期待されます。
また、委託開発の場面においても、SBOM対応モデルは有効な活用が可能です。
調達者と開発委託先が、どの範囲までSBOM対応を実施するのか、あるいはSBOM対応範囲のカバー率をどの程度確保するのかを事前に協議し、契約上の要求事項として合意することで、期待するセキュリティレベルや管理レベルを明確化できます。
これにより、開発後の認識齟齬を防ぐとともに、調達者が求めるリスク管理水準を計画的に実現できるようになります。
SBOM対応モデルは、単なるSBOMの有無を評価するものではなく、ソフトウェア管理の成熟度や透明性を可視化するための共通指標として機能します。
今後、ソフトウェアの品質やセキュリティを評価する重要な要素として、価格や機能と並ぶ新たな評価軸になることが期待されています。
各開発プロジェクトにおいては、OSSに関する知識や、ソフトウェアライセンス、SBOMを理解することが、プロジェクトに関わるメンバーに必要なスキルとなってくると考えられます。
組み込み／制御ビジネスユニットインダストリー事業本部
インダストリービジネス事業部
データエンジニアリング部第３技術グループ
主任
2006年、富士ソフト入社。モバイル機器の開発、ゲーム機向けのSDK開発を行う。その後、メーカーの研究開発の現場に携わり、主に低遅延伝送技術をテーマに、ルーターのNAT特性解析を自動で行うシステムの開発を経験。
研究開発の成果をPoCや、製品に移行する際、SBOMの生成が必要になり、開発の現場にて、SBOMを手動で作成し、SBOMの必要性を学ぶ。現在は、SBOM管理エンジニアとして、若手の教育とSCAツールの導入支援を中心に活動している。
保有資格：情報処理安全確保支援士
「探している組み込み製品」も「相談したい組み込み開発」も、まずはこちらから。
“こんな製品はないか”、“見積もりがほしい”、“この技術は対応できるか”、“詳しい実績が知りたい”——質問だけでも結構です。
お急ぎの場合も迅速に対応します。
