SBOM Consumer

SBOM Consumerは、ベンダーから送られてくるSBOMを取り込み、検証し、監視します。SBOMを作成する側ではなく、受け取る側の組織向けに構築されています。すべてのSBOMを自社のソフトウェア資産やデバイス資産に関連付けてカタログ化し、それらのコンポーネントに新たな脆弱性がないかを監視します。

Quality Analysis（品質分析）にかけます。Quality Analysisは、ベンダーから送られてきたコンポーネントデータの問題点を指摘します。このチェックはSBOM ConsumerとSBOM Studioに共通のもので、長年かけて構築してきたAutocorrection（自動修正）とSBOM修復モジュールに支えられています。サプライヤーが何を送ってくるかはコントロールできません。そのため、このプラットフォームは、そのままでは使えないSBOMも取り込めます。

カタログ化し、資産に関連付け、監視します。SBOM Consumerはすべてのコンポーネントをカタログ化し、各コンポーネントにサプライチェーンインテリジェンスを付加します。さらに、SBOMを該当するソフトウェア資産またはデバイス資産に関連付け、新たな脆弱性がそのいずれかに影響する場合はアラートで通知します。

契約に盛り込み、提出先を用意します。調達時にはSPDXまたはCycloneDX形式の機械判読可能なSBOMを、リリースのたびに新しいSBOMを求めます。あわせて、期待するカバレッジ（対象範囲）を明示します。欧州サイバーレジリエンス法（EU CRA）がサプライヤーに求めるフォーマットと深さについては、EU CRAのSBOM要件をご覧ください。Vendor Managementアドオンは専用のベンダーアカウントを作成し、サプライヤー自身がSBOMをアップロードできるようにします。

ベンダーが発行するVEXをインポートするか、Vendor Managementアドオンを通じてVEXに関する問い合わせを送ります。保有しているSBOM内のコンポーネントに新たな脆弱性が見つかると、SBOM Consumerは深刻度と悪用に関する状況を添えてアラートで通知します。インポートしたVEXにより、対象を実際に悪用可能なものに絞り込めます。また、このアドオンを使えば、そのベンダーに記録に残る形で確認を求めることができます。

はい、CMDBやソフトウェアインベントリーツールと連携できます。SBOM Consumerは、自社で既に運用している資産管理システムにSBOMデータを接続し、各SBOMを対応するソフトウェア資産またはデバイス資産に関連付けます。そのため、コンポーネントのリスクが、チームが普段作業している場所に表示されます。

はい、インドの規制対象事業者には必要です。SEBIのCSCRFの基準GV.SC.S5は、既存の重要システムについてSBOMを求めています。新たな重要システムのソフトウェアやSaaSアプリケーションについても、調達時にSBOMを求めています。また、市場インフラ機関（MII）は、ベンダー選定（登録）基準にSBOMを含める必要があります。

SBOMという名称では明記されていません。ただし、NIS 2のサプライチェーンに関する義務は、SBOMがなければ満たすことが困難です。第21条(2)(d)は、必須エンティティおよび重要エンティティに対し、直接のサプライヤーとの関係におけるセキュリティ確保を求めています。また、第21条(3)は、サプライヤーの脆弱性を考慮することを求めています。第23条は、重大インシデントについて、24時間以内の早期警告と72時間以内の通知を定めています。

代わりに何を共有できるかを尋ね、そのうえで契約更新時の要件に盛り込みます。秘密保持契約（NDA）に基づくコンポーネント一覧や、サードパーティコンポーネントを明記した表明書（アテステーション）でも、何もないよりは有益です。また、EU市場で製品を販売するベンダーは、2027年12月11日から自らSBOMの義務を負います。詳しくは、CRAがサプライヤーに求める内容をご覧ください。

SBOM Studioは、自社で開発するソフトウェア向けです。SBOM Consumerは、購入するソフトウェア向けです。Studioは、自社で作成して顧客と共有するSBOMを管理します。Consumerは、ベンダーから送られてくるSBOMを扱い、自社で運用している資産に関連付けます。多くの組織が両方を利用しています。