米サイバーセキュリティ・インフラセキュリティ庁(CISA)は共同執筆パートナーとともに、2026年版「ソフトウェア部品表(SBOM)の最小要素」を公開しました。これにより、米国電気通信情報局(NTIA)が発行していた2021年版ガイダンスが置き換えられることになります。
SBOMとは、ソフトウェアパッケージを構成するコンポーネントと、そのサプライチェーン上の関係性をまとめたリストです。組織が自社のソフトウェアに何が含まれているかを把握し、サプライチェーンのリスクを評価した上で、セキュリティに関する的確な判断を下す助けとなります。
今回の改訂では、2025年に実施されたパブリックコメント期間中に寄せられた意見が反映されており、最小要素はあらゆるソフトウェアのSBOMに適用されます。
今回の更新では、コンポーネントのハッシュアルゴリズム、コンポーネントのライセンス、SBOM生成ツールの名称、生成コンテキストといった新たな最小要素が追加されました。また、既存の複数のフィールド名も見直され、明瞭性と一貫性が向上したことで、ソフトウェアサプライチェーン管理や脆弱性管理の自動化においてSBOMをより活用しやすくなっています。
今後のSBOM開発における課題領域
文書の末尾には「Discussion」というセクションが設けられており、今後ガイダンスの拡充が必要となりうる4つの難しい領域を取り上げています。クラウドソフトウェア、AI、SBOMの信頼性を検証する仕組み、そしてSBOMとセキュリティアラートの連携です。
クラウドおよびSaaS(サービスとしてのソフトウェア)製品は、責任の所在を明確にしにくい対象です。サービスを構築する企業と実際に運用する企業との間で責任が分かれているうえ、ソフトウェア自体も絶えず変化し続けるためです。SBOMを更新のたびに新規作成すると、双方が膨大な事務作業に追われかねません。そこで執筆者らは、自動スナップショットのようなツールが役立つ可能性を示唆しつつ、将来的にクラウド特有の要素を追加する余地も残しています。
AIについても同様の課題があります。AIもソフトウェアである以上、標準的な要素の多くはすでにカバーされていますが、AIシステムにはモデルの構築・学習方法を記述する「モデルカード」や「データカード」といった、通常のSBOMでは捉えきれない独自の構成要素が存在します。CISAは現時点でAI固有のフィールドを追加することは見送り、代わりにG7が2026年5月に公開した別個のAI版SBOMガイダンスを参照するよう案内しています。
残る2つのテーマは、SBOMから実際の価値を引き出すことに関するものです。受け取り手がSBOMの真正性と非改ざんを確認できるようにするため、今回のガイダンスにはデジタル署名フィールドが追加されました。ただし、SBOMの正確性を完全に検証することはこの最小要素の範囲を超えるとも注記されています。さらに、SBOMをセキュリティアラート(VEXやCSAFといった形式を用いて、どのコンポーネントに脆弱性があるかを示す)と連携させることで、組織は新たに発見された脆弱性が自社のソフトウェアに影響するかどうかを迅速に確認できるようになります。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/cisa-sbom-guidance-updated/
