CISAが提言する「SBOMの2025年最小要素」草案を解説：ソフトウェアサプライチェーンセキュリティの新たな標準とは？
公開日
近年、ソフトウェアサプライチェーンを標的としたサイバー攻撃の増加を受け、その透明性を確保する手段としてSBOM（Software Bill of Materials：ソフトウェア部品表）への注目が世界的に高まっています。SBOMは、ソフトウェアを構成するコンポーネントやライブラリのリストであり、脆弱性管理やライセンスコンプライアンスを効率化するための重要な鍵となります。
このような背景の中、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は、SBOMの普及と実践をさらに推進するため、「2025 Minimum Elements for a Software Bill of Materials (SBOM)」のパブリックコメント草案を公開しました。 本記事では、この最新の草案に基づき、SBOMの重要性から2021年版からの主要な変更点、そして今後の展望までを詳しく解説していきます。
SBOMの重要性とCISAによる新たな提案
ソフトウェアサプライチェーンのリスク管理において、SBOMが不可欠であることはもはや共通認識となっています。SBOM、すなわちソフトウェアの「成分表示表」は、ソフトウェアを構成する全コンポーネントを一覧化することで、迅速な脆弱性対応やライセンスコンプライアンスの確保を可能にします。
こうしたSBOMの利点を最大限に引き出し、その品質と相互運用性をさらに高めるため、CISAは今回、SBOMに記載すべき最小要素を再定義する新たな草案を発表しました。
CISAが示す「SBOMの2025年最小要素」の全体像
2025年版の最小要素は、2021年に米国電気通信情報局（NTIA）が発行したドキュメントを更新するものです。 2021年版の公開以降、SBOMの導入と関連ツールは大きく成熟しました。 今回の草案は、その間に得られた実際の運用経験や教訓を反映し、より実用的でリスク情報に基づいた意思決定を支援するための要素が追加・更新されています。
最小要素は、大きく分けて「データフィールド」「自動化サポート」「プラクティスとプロセス」の3つのカテゴリで構成されています。特に重要なのが、SBOMの中核をなす「データフィールド」です。
2021年版からの主要な変更点：何が新しくなり、何が変わったのか？
今回の草案では、実際のSBOMの利用が進む中で明らかになった課題に対応するため、いくつかのデータフィールドが新設され、既存のフィールドも大幅に更新されました。
新たに追加された主要なデータフィールド
- Component Hash: ソフトウェアコンポーネントのハッシュ値。これにより、コンポーネントが改ざんされていないかを暗号学的に検証でき、完全性を保証します。
- License: コンポーネントが利用可能なライセンス情報。ライセンス違反による法的なリスクや、意図しないライセンスの継承といった問題を回避するために不可欠です。
- Tool Name: SBOMを生成するために使用されたツールの名称。
- Generation Context: SBOMが生成されたソフトウェアライフサイクルのフェーズ（ビルド前、ビルド中、ビルド後など）。
Tool NameとGeneration Contextは、SBOM自体の信頼性と透明性を高めます。これにより、SBOMの受け手は、そのデータがどのようなプロセスで生成されたかを理解し、品質を評価することができます。
大幅に更新されたデータフィールド
- SBOM Author (旧 Author of SBOM Data): SBOMデータを作成したエンティティ（組織や個人）の名前。責任の所在を明確にします。
- Software Producer (旧 Supplier Name): ソフトウェアコンポーネントを開発・製造したエンティティの名前。「Supplier Name」という表現では、コンポーネントの原作者、再配布者、単なる販売者の区別が曖昧でした。この曖昧さが、セキュリティ上の問題発生時に誰が責任を持つべきかの混乱を招いていました。「Software Producer」への変更により、コンポーネントの出所が明確になります。
- Dependency Relationship: コンポーネント間の依存関係。フォークされたソフトウェアやバックポートされたパッチなども明示的に文書化できるよう、要件が更新されました。
これらの更新は、SBOMの実運用で明らかになった課題に対応し、情報の精度と一貫性を向上させるためのものです。
SBOMの普及を加速する自動化サポート
CISAは、SBOMが大規模に利用されるためには、手作業を排した自動化が不可欠であると強調しています。そのため、今回の草案でも、機械処理可能で相互運用性の高いフォーマットの利用が強く推奨されています。
現在、業界で広く採用されているフォーマットとして、以下の2つが挙げられています。
- SPDX (Software Package Data Exchange)
- CycloneDX
これらのオープンな標準フォーマットを利用することで、異なるツール間でのスムーズなデータ連携が可能となり、SBOMの生成から脆弱性情報の関連付け、リスク分析までの一連のプロセスを自動化することができます。
今後の展望：SaaSやAIにおけるSBOMの活用
CISAの草案は、SaaS（Software as a Service）やAI（人工知能）といった、より複雑なソフトウェアシステムにおけるSBOMの活用についても言及しています。
SaaSやAIソフトウェアは、従来のオンプレミス型ソフトウェアとは異なる特性を持つため、現状の最小要素だけではその構成要素を完全に捉えきれない可能性があります。
- SaaS: 頻繁なアップデート、インフラコンポーネント、外部APIへの依存といった動的な性質を持つため、静的なSBOMでの管理が困難です。
- AI: 従来のソフトウェアコンポーネントに加え、学習データ、AIモデル、AI特有のライブラリといった独自の要素が含まれます。
今後は、これらの新しい技術領域に対応するため、モデルの出所や学習データの詳細など、追加のデータフィールドやプラクティスの検討が進められていくことが予想されます。
まとめ：SBOMの進化がもたらす、より安全なソフトウェア開発の未来
今回CISAが発表した「SBOMの2025年最小要素」草案は、ソフトウェアサプライチェーンセキュリティを新たなステージへと引き上げるための重要な一歩です。新しい要素の追加と既存要素の更新により、SBOMはこれまで以上に信頼性が高く、実用的なツールへと進化を遂げようとしています。
この草案は、ソフトウェア開発者、セキュリティ専門家、そして最終的にソフトウェアを利用するすべてのユーザーにとって、より安全で透明性の高いデジタル社会の実現に貢献するでしょう。CISAは、提案された明確化と強化に関するフィードバックを求めており、コメント期間は10月3日までとなっています。
Webサービスや社内のセキュリティにお困りですか？ 弊社のサービス は、開発チームが抱える課題を解決し、生産性と幸福度を向上させるための様々なソリューションを提供しています。ぜひお気軽にご相談ください！
参考資料: