SBOMとは？
えすぼむ
SBOMとは、ソフトウェアを構成するすべてのコンポーネントやライブラリの一覧表で、セキュリティリスク管理やライセンス把握に用いられます。
SBOM（Software Bill of Materials）とは、ソフトウェアの「部品表」のことです。製品を構成するすべてのオープンソースライブラリ・サードパーティコンポーネント・依存関係のバージョン・ライセンス情報などを一覧化したものです。製造業における部品表（BOM）の概念をソフトウェアに適用したものといえます。
SBOMが注目されるようになった背景には、ソフトウェアサプライチェーン攻撃の増加があります。現代のソフトウェアは多数のオープンソースコンポーネントを組み合わせて構築されており、ひとつの依存ライブラリに脆弱性が発見されると、それを使うすべての製品に影響が及びます。SBOMを整備していれば、脆弱なコンポーネントが自社のソフトウェアに含まれているかどうかを素早く確認できます。
SBOMの主な用途は次のとおりです。
- 脆弱性（CVE）が発見された際の影響範囲の即時把握
- オープンソースライセンスのコンプライアンス管理
- 調達先・取引先へのセキュリティ透明性の提示
- 規制対応（米国大統領令14028など）
代表的なフォーマットとしてSPDX（Software Package Data Exchange）やCycloneDXがあります。CI/CDパイプラインに組み込んでSBOMを自動生成・更新する取り組みも広まっています。
使い方・例文
企業がソフトウェア製品を納品する際に顧客へSBOMを提出する場面や、脆弱性スキャンツールがSBOMを参照して影響を受けるコンポーネントを特定する場面で登場します。
この用語をシェア
最終更新: