SBOMサイバムとは？

SBOM（Software Bill of Materials、読み方：エスボム）とは、あるソフトウェア製品を構成するすべてのオープンソースライブラリ・サードパーティコンポーネント・依存パッケージなどを機械可読な形式で網羅的にリスト化した文書です。製造業の部品表（BOM）になぞらえた概念で、ソフトウェアサプライチェーンセキュリティの中核的な仕組みとして注目されています。

SBOMが求められるようになった背景には、ソフトウェアサプライチェーン攻撃の増加があります。2020年のSolarWinds攻撃事件などを受けて、米国では2021年のバイデン大統領による「サイバーセキュリティ強化に関する大統領令」でSBOMの提供が連邦政府向けソフトウェアに義務付けられ、世界的に注目が高まりました。

SBOMの主な用途と効果は以下のとおりです。

• 脆弱性管理：Log4Shellのような重大脆弱性が発見された際、影響を受けるコンポーネントを即座に特定できる
• ライセンスコンプライアンス：商用製品に含まれるOSSのライセンス条件を把握・遵守する
• サプライチェーンの透明性確保：ベンダーから取得したソフトウェアの内部構成を把握
• インシデント対応の迅速化：新たな脆弱性開示時に影響範囲の調査時間を大幅削減

主要なフォーマットには、Linux Foundation推進のSPDXとOWASP推進のCycloneDXがあり、SyftやCDXgenなどのツールで自動生成が可能です。CI/CDパイプラインへの組み込みによる自動化が推奨されています。