SBOM（ソフトウェア部品表）とは？

SBOM（ソフトウェア部品表）の意味

製品に含まれるOSSや外部ライブラリの名称・版・ライセンス・依存関係を機械可読な形で一覧化したもの。脆弱性情報が公表された際に、影響を受ける製品と箇所を即座に特定するために使う。サプライチェーンセキュリティと構成管理の接点にあたる。

SBOM（ソフトウェア部品表）の具体例

広く使われるログ出力ライブラリに重大な脆弱性が公表された日、SBOMを検索して自社20製品のうち該当版を含む3製品を数分で特定し、優先度を付けて更新を配布した。SBOMが無い組織は全ソースの調査に数日を要した。

SBOM（ソフトウェア部品表）は試験でどう引っ掛けられる？

SBOMは脆弱性そのものを検知する仕組みではなく、あくまで「何が入っているか」の台帳。脆弱性DBと突き合わせて初めて機能する。また直接依存だけでなく推移的依存（依存先の依存）まで含めないと意味が薄い。

SBOM（ソフトウェア部品表）と関連する用語

• オープンソースライセンス
• 構成監査（機能構成監査・物理構成監査）
• ペネトレーションテストと脆弱性診断

SBOM（ソフトウェア部品表）が出た過去問

• ソフトウェアのセキュリティ管理に使用されるSBOMはどれか。

  正解：ソフトウェアを構成するコンポーネント、相互の依存関係などをリスト化した一覧

  要点：SBOMはソフトウェアの構成部品と依存関係の一覧（部品表）

  SBOM（Software Bill of Materials）は、ソフトウェアを構成する部品、つまり利用しているライブラリやコンポーネントとそのバージョン、依存関係を一覧にしたものである。脆弱性が公表されたとき、自社製品に影響するかを迅速に判断できるようにすることが主な狙いである。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問43（IPA）

• ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。

  正解：ソフトウェアについての脆弱性管理

  要点：SBOMは構成部品一覧で、脆弱性の影響範囲を素早く特定する

  SBOMはソフトウェアを構成する部品（ライブラリやコンポーネント）とそのバージョン、依存関係を一覧化したものである。これを管理しておくと、新たな脆弱性が公表されたときに、影響を受ける製品や箇所を素早く特定できる。したがって用途の中心はソフトウェアの脆弱性管理である。

  出典：令和7年度 春期 応用情報技術者試験 午前 問40（IPA）