CISAがSBOM(ソフトウェア部品表)の最小要素に関する改訂版ガイダンスを公表

米サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、国家安全保障局(NSA)、および15の国際サイバーセキュリティ当局は、ソフトウェア部品表(SBOM)の最小要素に関する共同ガイダンスを公表しました。SBOMとは、オープンソースライブラリや隠れた依存関係を含むソフトウェアコンポーネントの詳細な一覧に、それらのコンポーネントに関連する作成者やベンダーの情報を付加したものです。

ソフトウェアのサプライチェーンはしばしば大規模かつ複雑であり、ベンダーが脆弱性に対応するパッチのリリースに時間を要することも少なくありません。これは特に、サードパーティ製コンポーネントに関わる脆弱性の場合に当てはまります。サイバー犯罪者はソフトウェアサプライチェーンを標的にすることが多く、パッチがリリースされるまでの間に脆弱性を悪用する時間を十分に確保できるためです。ベンダーが提供するパッチを常に最新の状態に保つことは重要ですが、単にパッチを適用するだけではソフトウェアの安全性が保証されるわけではありません。ベンダーからSBOMを入手できれば、利用者はベンダーによるパッチのリリースよりもかなり早い段階で、脆弱性のある、あるいはリスクの高いコンポーネントを特定できるようになり、ソフトウェアサプライチェーン攻撃から身を守るための暫定的な対策を講じることが可能になります。

2021年、米国電気通信情報局(NTIA)はSBOMの最小要素に関するガイダンスを公表しましたが、今回の最新ガイダンスはこの文書に代わるものであり、2025年に公表された草案に対して寄せられた関係者からのフィードバックが反映されています。作成に関わった各機関は次のように述べています。「SBOMを生成・共有・利用・分析する組織が増加していることを背景に、SBOM関連のツールは進化を遂げてきました。こうした進化により、SBOMを要求する組織は、2021年当時と比べて、自らのサプライチェーンやソフトウェアコンポーネントについてはるかに多くの情報を求めることができるようになっています」

今回の最新ガイダンスはすべてのソフトウェアソリューションに適用されますが、AIベースのソフトウェアシステムやクラウド環境で稼働するSaaS(Software-as-a-Service)ソリューションなど、特定の種類のソフトウェアについては追加要件が必要となる場合があります。作成に関わった各機関は、まずこのガイダンスを用いて自らのSBOMが最小要件を満たしているかを確認し、その上で各ソフトウェアソリューションを評価して、ソフトウェアの透明性を高めるためにさらなる取り組みが必要かどうかを判断することを推奨しています。

今回の改訂では、10個のデータフィールドが新たに追加されたほか、範囲の明確化と要件の具体化を目的として8つの構成要素が更新され、さらに情報の質を高め、最新の技術動向にガイダンスを合わせるための軽微な変更が5件加えられています。このガイダンスは、ソフトウェアを開発・調達・運用する組織を対象としており、自社のソフトウェアコンポーネントやサプライチェーンの構成をより深く理解し、リスクを踏まえたより的確な意思決定を行えるようにすることを目指しています。