株式会社renue
AI導入・DXの悩みをプロに相談してみませんか？
AIやDXに関する悩みがありましたら、お気軽にrenueの無料相談をご利用ください。 renueのAI支援実績、コンサルティングの方針や進め方をご紹介します。
SBOMとは？ソフトウェアの「成分表示」が義務化される時代
SBOM（Software Bill of Materials：ソフトウェア部品表）は、ソフトウェアを構成するコンポーネント（オープンソースライブラリ、サードパーティモジュール、自社開発コード）とその依存関係、バージョン、ライセンス情報を体系的にまとめたリストです。食品の「成分表示」のように、ソフトウェアの中身を透明化し、脆弱性やライセンスリスクの管理を可能にします。
SBOM市場は2024年の12億ドルから2033年には62億ドルに成長する見通しです（CAGR 31.4%）。Gartnerは2025年までに重要インフラソフトウェアを構築・調達する組織の60%がSBOMを義務化すると予測しています（2022年の20%未満から急増）。米国の個別調達要件、EUのCRA、日本の導入支援など国ごとに位置づけが異なり、提供先の国や製品、取引先の要件によっては対応が求められる場合があります。
なぜSBOMが必要なのか
ソフトウェアサプライチェーン攻撃の深刻化
近年、ソフトウェアのサプライチェーン（OSS、サードパーティライブラリ）を標的とした攻撃が急増しています。2020年のSolarWinds事件、2021年のLog4Shell脆弱性（Log4j）は、1つのコンポーネントの脆弱性が世界中のシステムに影響を与えることを示しました。SBOMがなければ「自社のソフトウェアにLog4jが含まれているか？」という基本的な質問にすら即座に答えられません。
現代ソフトウェアの構成実態
| 統計 | 数値 | 含意 |
|---|---|---|
| OSSの構成比率 | 現代ソフトウェアの70〜90%がOSSコンポーネント | 自社開発コードよりOSS管理が重要 |
| 平均依存関係数 | 1つのアプリケーションで数百〜数千のOSS依存 | 手動管理は不可能 |
| 既知の脆弱性 | 年間数万件の新規CVE（脆弱性識別番号）が発行 | 継続的な監視が必須 |
SBOMの義務化動向
| 地域/規制 | 内容 | 対象 | 時期 |
|---|---|---|---|
| 米国（OMB M-26-05） | 各連邦機関がリスクに応じ、要求時のSBOM提供を契約条件に設定可能 | 該当する調達契約のソフトウェア供給者 | 2026年1月23日。M-22-18・M-23-16を撤回しリスクベースへ |
| EU（サイバーレジリエンス法/CRA） | 対象製品のSBOM作成・維持。監督当局の要求に応じた提供と一般公開は区別 | EU市場に出す、CRAの適用対象となるデジタル要素を持つ製品の製造者 | 2024年採択、主要義務は2027年12月11日適用（報告義務等は先行） |
| 日本 | 経済産業省がSBOM導入手引書ver2.0を公開し企業での活用を推進 | SBOM導入を検討する企業。提出の必要性は個別の法令・調達要件を確認 | 手引書ver2.0は2024年8月公開。提出時期は適用される個別要件による |
| FDA（米国食品医薬品局） | 対象となる医療機器の申請でSBOM提出が求められるとされています | 医療機器メーカー | 2023年〜 |
SBOMの主要フォーマット
| フォーマット | 策定元 | 特徴 | 適したケース |
|---|---|---|---|
| SPDX | Linux Foundation | ISO標準（ISO/IEC 5962）、ライセンス管理に強い | OSSコンプライアンス重視 |
| CycloneDX | OWASP | セキュリティ重視、VEX（脆弱性の悪用可能性を伝える情報）対応 | 脆弱性管理重視 |
| SWID Tags | ISO/IEC 19770 | ソフトウェア識別タグ | 商用ソフトウェア資産管理 |
SPDXとCycloneDXが事実上の2大標準であり、多くのSBOMツールが両方をサポートしています。セキュリティ用途ではCycloneDX、ライセンスコンプライアンス用途ではSPDXが推奨されますが、両方を生成・管理できるツールを選定するのが現実的です。
SBOM管理の実践ステップ
ステップ1: SBOM生成の自動化
CI/CDパイプラインにSBOM生成ツールを組み込み、ビルドのたびにSBOMを自動生成します。
| ツール | 特徴 | 対応言語/パッケージ |
|---|---|---|
| Syft（Anchore） | OSS、コンテナ対応、SPDX/CycloneDX出力 | 多言語、Docker |
| Trivy（Aqua Security） | 脆弱性スキャン+SBOM生成の統合 | 多言語、Docker、IaC |
| cdxgen | CycloneDX生成特化、高速 | 多言語 |
| Microsoft SBOM Tool | MSビルドシステム統合 | .NET、npm等 |
| FOSSA | 商用、ライセンスコンプライアンス統合 | 多言語 |
| Snyk | 商用、開発者ワークフロー統合 | 多言語 |
ステップ2: 脆弱性の継続的監視
生成されたSBOMを脆弱性データベース（NVD、OSV等）と照合し、既知の脆弱性を持つコンポーネントを継続的に検出します。新たなCVEが公開されるたびに自動でスキャンし、影響を受けるコンポーネントをアラートする仕組みが必要です。
ステップ3: ライセンスコンプライアンスの確認
OSSには様々なライセンス（MIT、Apache 2.0、GPL、AGPL等）が付与されており、一部のライセンスは商用利用に制約があります。SBOMに記録されたライセンス情報を自動チェックし、ポリシー違反を検出します。特にコピーレフト系ライセンス（GPL、AGPL）の混入は注意が必要です。
ステップ4: VEX（Vulnerability Exploitability eXchange）の運用
SBOMに脆弱性が検出されても、全てが自社システムで悪用可能（Exploitable）とは限りません。VEXは、製品での脆弱性の影響・悪用可能性を文書化し、対応の優先順位付けを行うための仕組みです。「自社の利用形態では影響しない」という評価だけでなく、影響あり・修正済み・調査中などの状態も区別します。CycloneDXがVEXをネイティブサポートしています。
ステップ5: SBOM共有と顧客対応
規制要件や顧客の要求に応じて、SBOMを安全に共有する体制を構築します。SBOMは「社内で管理するもの」と「外部に提供するもの」を区別し、外部提供用SBOMは、要求される構成要素・依存関係などを欠落させない範囲で機密性の高い情報（内部コンポーネント名等）の扱いを検討します。例えばCRA附属書I第II部は少なくとも最上位の依存関係を含むSBOMを求めています。必須情報を一律に削るのではなく、提供先と共有範囲・アクセス制御を調整してください。
SBOM導入の課題と対策
| 課題 | 内容 | 対策 |
|---|---|---|
| SBOMの鮮度 | 生成したSBOMがすぐに古くなる | CI/CDでビルドごとに自動生成 |
| トランジティブ依存の把握 | 直接の依存だけでなく間接的な依存も膨大 | 深い依存解析が可能なツールの選定 |
| 脆弱性の優先順位付け | 検出される脆弱性が多すぎて対応しきれない | VEXとリスクスコアリングで優先度を判断 |
| レガシーシステム | 古いシステムのSBOM生成が困難 | バイナリ解析ツールの活用 |
| サプライヤーからのSBOM取得 | サードパーティベンダーがSBOMを提供しない | 調達要件にSBOM提供を明記 |
2026年のSBOMトレンド
AIによる脆弱性トリアージの自動化
AIが脆弱性のコンテキスト（自社の利用形態、攻撃の現実性、パッチの可用性）を分析し、対応の優先順位を自動判断するツールが実用化されています。数百件の脆弱性検出からAIが「今すぐ対応すべき10件」を自動選定します。
SBOMの「リアルタイム化」
静的なSBOMファイルから、ランタイムの依存関係もリアルタイムに追跡する「ランタイムSBOM」への進化が進んでいます。実際に本番環境で実行されているコンポーネントのみを対象とすることで、偽陽性を大幅に削減します。
SBOM as a Service
SBOMの生成、管理、脆弱性監視、ライセンスチェック、規制対応レポートをマネージドサービスとして提供する「SBOM as a Service」が台頭しています。自社でSBOM基盤を構築する必要がなくなり、中小企業でも導入が容易になっています。
よくある質問（FAQ）
Q. SBOMは全ての企業に必要ですか？
ソフトウェアを開発・提供する企業では必要となる場面が増えています。特に米国連邦政府への納品、EU市場へのソフトウェア/IoT製品提供、医療機器の開発を行う企業では、要件として求められる場合があります。それ以外の企業でも、顧客からのSBOM提出要求が増加しており、調達要件として求められるケースが急増しています。「まだ義務化されていない」から不要ではなく、「いつ求められても対応できる」体制を今から整備することが推奨されます。
Q. SBOMの導入コストはどのくらいですか？
OSS（Syft、Trivy、cdxgen等）を活用すればツール費用は無料で始められます。商用ツール（Snyk、FOSSA等）は月額数万〜数十万円/開発者です。最大のコストは「脆弱性が検出された際の対応工数」であり、パッチ適用やコンポーネントのアップデートに継続的な工数が必要です。IBMの2025年調査では、データ侵害を経験した調査対象600組織における世界平均コストは444万ドルでした。こうした被害規模も参考に、自社の侵害リスク、SBOMで管理できる範囲、導入・継続運用コストを合わせて予防投資のROIを評価します。
Q. SBOMの管理にはどのようなツールが必要ですか？
最小構成では「SBOM生成ツール（Syft/Trivy）+ 脆弱性スキャンツール（Trivy/Grype）+ CI/CD統合」で始められます。本格運用では「SBOM管理プラットフォーム（Dependency-Track等）」を追加し、全プロジェクトのSBOMを一元管理、継続的な脆弱性監視、ライセンスチェック、レポート生成を統合的に行います。
まとめ：SBOMでソフトウェアの「中身」を見える化し、守る
SBOMは、ソフトウェアサプライチェーンの透明性を確保し、脆弱性管理とライセンスコンプライアンスを体系的に行うための必須ツールです。各国の規制・調達要件と導入支援の動きを踏まえ、CI/CDパイプラインへの自動SBOM生成の組み込みから始め、継続的な脆弱性監視の体制を構築しましょう。
renueでは、SBOM管理体制の構築からソフトウェアサプライチェーンセキュリティの設計、CI/CDパイプラインの最適化まで、企業のセキュリティ基盤を包括的に支援しています。SBOM対応やセキュリティ体制の強化でお悩みの方は、ぜひお気軽にご相談ください。
株式会社renueでは、AI導入戦略の策定からDX推進のコンサルティングを提供しています。お気軽にご相談ください。
