最終更新日：
SBOMとは、ソフトウェアに含まれるライブラリなどの部品と、その版・ライセンス・依存の関係を一覧にした表です。
SBOMは Software Bill of Materials の略です。経済産業省は「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」を2023年7月に公表し、2024年8月に、脆弱性の管理の進め方や、委託先との契約で取り決める項目の案などを加えた ver2.0 を公表しています。形式には SPDX や CycloneDX などがあります。
いまのソフトウェアの多くは、OSSなどの部品を組み合わせて作られています。SBOMがあると、部品に脆弱性が見つかったときに、自社のどのシステムが影響を受けるかを早く調べられます。ライセンスの条件を確かめるのにも使えます。
システムの開発を委託する場合は、SBOMを納品物に含めるか、どの形式で、更新のたびに作り直すかを、契約や要件で決めておくことがあります。作るだけでなく、脆弱性の情報と照らし合わせる運用をあわせて決めておきます。
関連する用語
- OSSライセンスオープンソースソフトウェアを使う、直す、配るときの条件を、作者が定めた利用許諾の条件です。
- 脆弱性管理使っているシステムの脆弱性の情報を集め、影響を見極めて、直すまでを続けて管理することです。
- サプライチェーン攻撃守りの堅い企業を直接狙わず、取引先や委託先、使っているソフトウェアなどを経由して攻撃する手口です。
- オープンソースソフトウェア（OSS）ソースコードが公開され、決められた条件のもとで誰でも使い、直し、配れるソフトウェアです。
- ソフトウェアのライセンス管理（ライセンスコンプライアンス）使っているソフトウェアやクラウドのサービスが、ライセンス契約で認められた範囲と数の中で使われているかを管理することです。