ソフトウェア部品表（SBOM）
ソフトウェアの依存関係を把握し、脆弱性をより迅速に発見して、サプライチェーンのリスクを軽減します。
現代のソフトウェアは多数のオープンソースおよびサードパーティー製コンポーネントに依存しているため、システム上で実際に何が動作しているかを正確に把握することは容易ではありません。ソフトウェア部品表（SBOM）は、それらのコンポーネント、バージョン、相互関係を構造化された一覧として提供します。
概要
現代のソフトウェアは、多くの場合、複雑な依存関係の連鎖を通じてオープンソースおよびサードパーティー製コンポーネントを利用しています。ソフトウェア部品表（SBOM）は、これらのコンポーネント、バージョン、依存関係、相互関係を構造化された一覧として提供します。
組織によるSBOMの生成と検証、開発プロセスやCI/CDプロセスへの統合を支援します。これにより、ソフトウェアサプライチェーンの可視性が高まり、セキュリティ、ライセンス、保守上のリスクを特定しやすくなります。
支援できること
- SBOMの生成 - SPDXやCycloneDXなどの標準形式を使用して、アプリケーションやソフトウェア環境のSBOMを生成します。
- コンポーネントと依存関係の分析 - 直接および推移的な依存関係、コンポーネントのバージョン、関連するメタデータを特定します。
- CI/CDへの統合 - ビルドおよびデプロイパイプラインの一部として、SBOMの生成と検証を自動化します。
- 脆弱性管理 - SBOMデータを使用し、新たに公開された脆弱性がアプリケーションやシステムに影響するかどうかを判断します。
- ライセンスコンプライアンス - オープンソースライセンスを特定し、コンプライアンスレビューに必要なコンポーネント情報を提供します。
- SBOMの検証と保守 - SBOMの完全性と整合性を確認し、ソフトウェアの変更に合わせて一覧を最新の状態に保ちます。
期待できる成果
- オープンソースおよびサードパーティー製ソフトウェアコンポーネントの可視性向上
- 新たに公開された脆弱性の影響を受けるシステムの迅速な特定
- ソフトウェアサプライチェーンの透明性向上
- ライセンスおよびコンプライアンスレビューに必要な情報の充実
- 開発ワークフローに統合された再現可能なSBOM生成
- 古い依存関係やサポートが終了した依存関係の把握
進め方
一般的な支援では、まず対象とするソフトウェア、ビルドプロセス、環境を特定します。次に、既存の依存関係とビルド情報を評価し、適切なSBOMツールと形式を選定して、初期SBOMを生成します。
必要に応じてSBOMの生成と検証をCI/CDパイプラインに統合し、ソフトウェアの変更に伴って一覧が自動的に更新されるようにします。
作成したSBOMについて、セキュリティ、開発、コンプライアンス、保守の各ワークフローで活用するうえで十分な完全性と実用性があるかをレビューします。
成果物
支援内容に応じて、以下の成果物を提供します。
- SPDXまたはCycloneDX形式のSBOM
- コンポーネントと依存関係の一覧
- SBOM生成および検証の設定
- CI/CDパイプラインへの統合
- 脆弱性およびライセンスの分析
- 調査結果と優先順位を付けた推奨事項
- 技術文書と知識移転
技術と標準
形式: SPDX、CycloneDX
分野: Software Composition Analysis（SCA）、依存関係分析、脆弱性管理、ライセンスコンプライアンス、CI/CD自動化、ソフトウェアサプライチェーンセキュリティ
ご要望についてのご相談
開発ワークフローにおけるSBOMの作成、検証、統合でお困りですか？
現在のソフトウェアサプライチェーンの可視性を評価し、適切なツールと形式を特定して、開発またはCI/CDプロセスにSBOM生成を統合できるよう支援します。