--- title: "SBOM（ソフトウェアの部品表）とは。発注者が知っておきたいこと｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/sbom-software-inventory/ description: "SBOMとは、ソフトウェアを構成する部品とその依存関係を、機械で読める形で一覧にしたものです。経済産業省の手引ver2.0をもとに、最小限の項目、形式、作成と運用の流れ、脆弱性への対応での使い方、発注のときの求め方を説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # SBOM（ソフトウェアの部品表）とは。発注者が知っておきたいこと SBOMとは、ソフトウェアを構成する部品とその依存関係を、機械で読める形で一覧にしたものです。経済産業省の手引ver2.0をもとに、最小限の項目、形式、作成と運用の流れ、脆弱性への対応での使い方、発注のときの求め方を説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - SBOM（Software Bill of Materials）とは、ソフトウェアに含まれる部品と、その依存関係を、機械で読める形で一覧にしたものです。 - 新しい脆弱性が公表されたとき、SBOMがあれば、自社のどのシステムが影響を受けるかを早く調べられます。 - 発注するときは、作る範囲、形式、渡す時期、更新の頻度、費用の負担を、契約の前に開発会社と決めておきます。 SBOM（エスボム。Software Bill of Materials）とは、ソフトウェアを構成する部品（コンポーネント）と、その依存関係を、機械で読める形で一覧にしたものです。新しい脆弱性が公表されたときに、自社のどのシステムがその部品を使っているかをすぐ調べられることが、分かりやすい役割の一つです。経済産業省は「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」のver2.0を2024年8月29日に公表しています。用語としての短い説明は、用語集の[SBOM](https://www.ameliatechnology.co.jp/glossary/sbom/)にあります。 ## SBOMとは、何の一覧か SBOMとは、ソフトウェアの「部品表」です。いまのソフトウェアは、自社で書いたプログラムだけでなく、多くの[OSS（オープンソースソフトウェア）](https://www.ameliatechnology.co.jp/glossary/oss/)や市販の部品を組み合わせて作られています。その部品が、さらに別の部品を使っていることも珍しくありません。 経済産業省の手引ver2.0は、SBOMを、ソフトウェアのコンポーネントや依存関係の情報を含む、機械で処理できる一覧として説明しています。OSSだけでなく、市販の部品なども対象にでき、ソフトウェアのサプライチェーンの透明性を高めるためのものと位置づけています。 出典：[ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0（経済産業省、2024年8月29日）](https://www.meti.go.jp/policy/netsecurity/wg1/SBOMv2.pdf) 工場の製品の部品表と同じように、何が、どの版で入っているかが分かれば、問題のある部品が見つかったときに、使っている製品を早く特定できます。 ## SBOMには、何が書かれるか SBOMには、部品ごとに、誰が作ったか、何という部品か、どの版か、ほかの部品とどうつながっているかが書かれます。手引ver2.0は、米国の電気通信情報庁（NTIA）が示した最小要素として、次のデータの項目を紹介しています。 | 項目 | 内容 | |---|---| | サプライヤー名 | 部品を作った、または提供している者 | | コンポーネント名 | 部品の名前 | | バージョン | 部品の版 | | その他の一意な識別子 | 部品を見分けるための識別子 | | 依存関係 | 部品と部品のつながり | | SBOMの作成者 | SBOMを作った者 | | タイムスタンプ | SBOMを作った日時 | 出典：[ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0（経済産業省、2024年8月29日）](https://www.meti.go.jp/policy/netsecurity/wg1/SBOMv2.pdf) 形式としては、手引ver2.0は、SPDX（Linux Foundation の傘下のプロジェクトが開発し、ISO/IEC 5962:2021 として国際標準化された形式）、CycloneDX（セキュリティに特化した形式を目標に、OWASP のコミュニティのプロジェクトが開発した形式）などを紹介しています。どちらを使うかは、使う道具と、SBOMを渡す相手の求めに合わせて決めることが多いです。 ## SBOMは、何に役立つか SBOMは、主に脆弱性への対応と、ライセンスの管理に役立ちます。 - **脆弱性への対応**：部品に新しい[脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)が公表されたとき、SBOMを検索すれば、影響を受けるシステムをすぐに洗い出せます。SBOMがないと、システムごとに担当者や開発会社に問い合わせることになり、調べるだけで日数がかかることがあります - **ライセンスの管理**：部品ごとのライセンスが分かるため、守るべき条件（表示の義務など）を見落としにくくなります。OSSのライセンスの考え方は、[オープンソースのライセンスと、発注者が確かめること](https://www.ameliatechnology.co.jp/blog/open-source-license-basics/)で扱っています - **開発の効率**：部品の問題に早く気づけ、過去に使った部品の情報を次の開発の部品選びに使えます 手引ver2.0は、こうした脆弱性の管理、ライセンスの管理、開発の生産性の向上を、SBOMを導入するメリットとして挙げています。 脆弱性の情報の集め方と、急ぐものの見極め方は、[脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方](https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/)で説明しています。SBOMで「どこに使われているか」が分かり、脆弱性の情報で「どのくらい急ぐか」が分かる、という組み合わせで使います。 ## SBOMは、どう作り、どう使い続けるか 手引ver2.0は、SBOMの導入を、環境の構築と体制の確立、SBOMの作成と共有、SBOMの運用と管理の3つの段階で示しています。 1. **環境の構築と体制の確立**：どのソフトウェアを対象にするか、誰が作り、誰が使うかを決め、SBOMを作る道具を選んで使い方に慣れる 2. **SBOMの作成と共有**：道具で部品を調べ、誤って拾ったものや漏れがないかを確かめてSBOMを作り、使う人や顧客に渡す 3. **SBOMの運用と管理**：SBOMをもとに脆弱性とライセンスを管理し、ソフトウェアを更新したらSBOMも更新して保管する 出典：[ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0（経済産業省、2024年8月29日）](https://www.meti.go.jp/policy/netsecurity/wg1/SBOMv2.pdf) 道具は部品を自動で調べてくれますが、結果をそのまま信じず、人が確かめる段階を入れておくことが大切です。また、ソフトウェアを更新すると部品も変わるため、一度作って終わりにせず、リリースのたびに作り直す流れを開発の手順に組み込んでおくと、古いSBOMを見て判断を誤ることを防げます。 ## 発注するとき、何を求めればよいか 開発を外部に頼むときは、SBOMを納品物に含めるかどうか、含めるならどのような形かを、契約の前に開発会社と決めておきます。手引ver2.0にも、契約で要件、責任、費用の分担を決めるための取引のモデルが示されています。 決めておきたいことの例です。 - **範囲**：自社で書いた部分だけか、使っている部品をすべて含むか。どのくらい深い依存関係まで書くか - **形式**：SPDX か CycloneDX か、またはほかの形式か - **渡す時期**：初めての納品のときだけか、修正や機能追加のたびに渡すか - **更新と保守**：保守の契約の中で、SBOMの更新と、脆弱性が見つかったときの調査と報告をどう扱うか - **費用**：作成と更新にかかる費用を、誰がどのように負担するか すでに動いているシステムでSBOMがない場合は、いまの保守の会社に作成を頼むか、道具を使って自社で作るところから始めます。開発会社を替えるときにも、SBOMがあると、新しい会社が中身を把握する助けになります。システムの部品の一覧と脆弱性の管理は、[サプライチェーンのセキュリティ。取引先を経由する攻撃への備え](https://www.ameliatechnology.co.jp/blog/supply-chain-security/)とも深く関わっています。 ## 当社のご支援 アメリア・テクノロジーは、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)や[ソリューション提供](https://www.ameliatechnology.co.jp/service/solution/)で、システムの開発と保守をお受けしています。SBOMを納品物に含めるかどうかや、更新の進め方も、ご依頼の際にご相談ください。すでに動いているシステムの脆弱性の診断と、見つかった問題を直す順番の決め方は、[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)でご支援しています。PHPで動くシステムについては、無料の[PHPバージョン診断](https://www.ameliatechnology.co.jp/diagnosis/php/)で、サイトのPHPの版を確かめられます。 - SBOM - 脆弱性 - オープンソース - サプライチェーン ## この記事に出てくる用語 - [SBOM（ソフトウェア部品表）](https://www.ameliatechnology.co.jp/glossary/sbom/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [オープンソースソフトウェア（OSS）](https://www.ameliatechnology.co.jp/glossary/oss/) - [OWASP Top 10](https://www.ameliatechnology.co.jp/glossary/owasp-top-10/) - [KEV](https://www.ameliatechnology.co.jp/glossary/kev/) - [CVSS](https://www.ameliatechnology.co.jp/glossary/cvss/) - [リリース・デプロイ](https://www.ameliatechnology.co.jp/glossary/release-deploy/) ## 関連する法令・指針（参考情報） - 指針 経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」（ver2.0（2024年8月29日公表）） SBOM（ソフトウェア部品表）を導入して、ソフトウェアの部品と脆弱性を管理するための手順や考え方をまとめた手引です。ver2.0では、脆弱性の管理の流れでのSBOMの使い方や、部品の発注者と供給者が契約で決める事項の例（SBOM取引モデル）が加わりました。 [発行元の公式ページで開く](https://www.meti.go.jp/press/2024/08/20240829001/20240829001.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「SBOM（ソフトウェアの部品表）とは。発注者が知っておきたいこと｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/sbom-software-inventory/