SBOM最小要素の国際ガイダンスに日本が共同署名
概要
経済産業省と内閣官房国家サイバー統括室は、SBOMの最低限のデータフィールド、プラクティス、プロセスを更新する国際ガイダンス「2026 Minimum Elements for a Software Bill of Materials（SBOM）」に共同署名した。ガイダンスは、2021年7月の米国NTIA文書を基礎に、2025年8月のCISA草案と国際議論を踏まえて作成された。新たな義務を創設するものではなく、SBOMの新規作成や既存内容の見直しにおける推奨事項として、脆弱性対応の効率化などへの活用が期待される。対象はオープンソース、AIソフトウェア、SaaSを含むすべてのソフトウェアで、日本のSBOM導入手引ver 2.0も各国事例として紹介された。
要点
- 日本の関係機関がSBOM最小要素の国際更新に参画した。
- 更新はリスク判断、対象範囲、情報品質と技術進展への対応を重視する。
- 日本のSBOM導入手引ver 2.0が国際ガイダンス内で紹介された。
- 共同署名には日本と米国を含む14か国の当局等が参加した。
概要
本ガイダンスは、SBOM文書を構成するデータフィールドと、組織がSBOMデータを取り扱い文書化するプラクティス及びプロセスについて、期待される最低限の要素を更新する国際文書である。
2021年7月に米国商務省国家電気通信情報庁（NTIA）が最小要素の定義文書を公表した後、SBOMはソフトウェア・サプライチェーンの透明性や脆弱性管理における役割を国際的に認識されてきた。今回の更新は、最新のIT技術、SBOM生成環境、ツール及び技術の進展を反映するものである。
本ガイダンスは、SBOMの概要と活用の重要性に関する2025年9月発刊の国際ガイダンスに続く、最小要素の定義文書の改訂版に当たる。
主要数値
- 最小要素の定義文書公表時期
- 2021年7月
- CISA草案公表時期
- 2025年8月
- 先行する国際ガイダンス発刊時期
- 2025年9月
- 共同署名参加国数
- 計14か国
影響
ソフトウェア製造者には、製品ごとにSBOMを生成・管理し、ユーザーが利用できるようにすることが奨励されている。SBOMは、開発組織と利用組織双方の課題を解決する一手法として、脆弱性管理に用いられる。
国際面では、日本、米国など14か国のサイバーセキュリティ当局等が共同署名し、SBOMの国際的な普及・促進を目的とするガイダンスが示された。ガイダンスには、欧州連合のサイバーレジリエンス法が、デジタル要素を有する製品の製造者に規制当局へのSBOM提供を義務付けていることも記載されている。
ただし、本ガイダンス自体は新たな要求事項を創設せず、法的義務の追加ではなく、脆弱性対応の効率化などを見据えた推奨事項として位置付けられる。
詳細
適用範囲は、オープンソースソフトウェア、AIソフトウェア、SaaSを含むすべてのソフトウェアである。一方、特定の種類のソフトウェアに必要となり得る追加要素は、本ガイダンスの対象範囲外とされる。
主な更新は、リスク情報に基づく判断を支援する新要素の追加、対象範囲の明確化と期待事項の特定、情報品質の向上及び技術的進展との整合に向けた軽微な更新である。不要なデータフィールドの削除・統合、用語と定義の整理・精緻化、データ品質・信頼性・機械処理性を高める追加も反映された。
新設項目は、作成主体の署名、データフォーマット名・バージョン、生成コンテキスト、ツール名・バージョン、SBOMバージョン、コンポーネントのハッシュ値・アルゴリズム、コンポーネント・ライセンスである。更新項目には作成主体、タイムスタンプ、提供主体、依存関係、識別子、名称、バージョンが含まれる。アクセス制御は削除された。
プラクティス及びプロセスでは、SBOMデータ更新への対応、カバレッジの配布及び提供、不明情報の明示、頻度、機械処理可能なデータが更新対象となる。経済産業省の「ソフトウェア管理に向けたSBOMの導入に関する手引ver 2.0」は、導入支援に関する各国事例として紹介された。