米国と同盟国、SBOMガイダンスを更新

米国と同盟13カ国の政府機関は今週、ソフトウェア部品表(SBOM)の最小要素に関する更新版ガイダンスを公開しました。

このガイダンスは、サプライチェーンセキュリティとソフトウェアの透明性における変化を反映したもので、NTIAが2021年に公開したSBOM Minimum Elementsガイダンスを土台としつつ、昨年実施されたパブリックコメント募集で寄せられた意見を踏まえて策定されています。

作成に携わった各機関によると、SBOMは「ソフトウェアセキュリティとサプライチェーンリスク管理の重要な構成要素」として機能し、組織が自社環境内のソフトウェアおよびソフトウェアコンポーネントの正確なインベントリを構築する助けになるとしています。

こうした位置づけのもと、更新版のSBOM最小要素(PDF)ガイダンスは、SBOMに含めるべき技術・慣行のベースラインを示しています。

ガイダンスには次のように記載されています。「ソフトウェアを開発・調達・運用する組織は、SBOMデータを活用することでソフトウェアサプライチェーンへの理解を深めることができます。サプライチェーンの可視性が高まることで、既知および新たに発見された脆弱性やリスクへの対応を含め、リスク管理に関する意思決定を後押しできます」

更新版ガイダンスは、2021年版のSBOM Minimum Elementsが持つ基本原則を維持しつつ、現在のSBOMに求められるニーズを反映しています。データ品質を改善し、より幅広いユースケースやアプリケーションに対応できるようにしたほか、新たな要素の追加、一部要素の削除、そして分かりやすさを高めるための説明文の見直しも行われています。

新たに追加された要素には、Component Hash Algorithm、Component Hash Value、Component License、Author Signature、Data Format Name、Data Format Version、Generation Context、Tool Name、Tool Version、SBOM Versionが含まれます。

今回の更新で削除された要素はAccess ControlとSoftware Identification(SWID)Tagsの2つのみですが、複数の要素が置き換えられたほか、説明の明確化や書き直しが行われた要素、データマッピングを改善するために修正された要素もあります。例えばコンポーネント名は、現在では複数のエントリーを許容するようになりました。

ガイダンスは次のようにも述べています。「SBOMを生成・共有・利用・分析する組織が増えるにつれ、SBOMツールも進化を遂げてきました。こうした進化により、SBOMを要求する組織は、2021年当時よりも自社のサプライチェーンやソフトウェアコンポーネントに関して、より多くの情報を求められるようになっています」

作成に携わった各機関によれば、本ガイダンスはあらゆるソフトウェアに適用されるものの、AIシステムやSaaSなど一部の種類のソフトウェアについては追加の要素が必要になる可能性があるとしています。なお5月には、G7(主要7カ国)の政府機関がAI向けのSBOMガイダンスを公開しています。