大規模に対応するSBOM管理とソフトウェアサプライチェーンセキュリティ

SBOM管理とは、生成後のSBOMを保管し、情報を付加し、共有し、監視することです。ビルドのたびに新しいインベントリーが生まれますが、昨日のファイルからは、今日公表された脆弱性について何もわかりません。そのギャップを埋めるのがSBOM管理です。

両方です。ただし、理由はそれぞれ異なります。SBOMを作成するのはサプライヤーであり、FDA第524B条などの規則は、その義務を製造者に課しています。購入者がベンダーのSBOMを収集するのは、「この新しい脆弱性は、自社で運用しているものに影響するか」という問いにすばやく答えるためです。SBOM Studioはサプライヤー側の業務向けに、SBOM Consumerは購入者側の業務向けに構築されています。

ソフトウェア構成解析（SCA）はプロセスであり、SBOMはドキュメントです。OWASPは、SCAをコンポーネント分析のうちソフトウェアのみを対象とするサブセットと位置付けており、サードパーティやオープンソースのコンポーネントに潜むリスクを見つけるものとしています。SCAは、開発者に何を修正すべきかを示します。SBOMは、顧客、監査人、規制当局に、製品に何が含まれているかを示します。

はい、義務付ける市場が増えています。FDA第524B条は、サイバーデバイスの市販前申請にSBOMを含めることを求めています。EU市場で販売されるデジタル要素を有する製品にも、SBOMが必要です。さらに、自動車、産業、金融サービスの各分野では、分野ごとの規則による要件も加わります。規制トラッカーでは、これらを市場別に掲載しています。

SBOMだけではわかりません。SBOMはコンポーネントのインベントリーであり、脆弱性レポートではありません。SBOMをCybeatsにインポートすると、サプライチェーンインテリジェンスで情報を付加したコンポーネントと、それらに影響する脆弱性を確認できます。生成したVEXオーバーレイ、またはベンダーからインポートしたVEXオーバーレイを使うと、対象を実際に悪用可能なものに絞り込めます。

両方を読み込めるのであれば、どちらでも構いません。SPDXはLinux Foundationが策定したもので、SPDX 2.2.1はISO/IEC 5962:2021にあたります。CycloneDXはOWASPが策定したもので、ECMA-424はCycloneDX 1.7を対象としています。CISAの2026年版最小要素は、広く使われているフォーマットとして両方を挙げています。Cybeatsは、両方の読み込みと書き出しに対応しています。

はい、3つすべてに対応しています。Cybeatsは、ソフトウェアのSBOMとあわせて、AI、暗号関連、ハードウェアの部品表も扱います。それぞれに含めるべき内容は異なります。AIの部品表が必要な場合は、まずは当社のAIBOMガイドをご覧ください。