ソフトウェアセキュリティリスクに対応するSBOMを企業全体でどう活用するか

はじめに ーSBOMの活用が求められている背景

製造業においてソフトウェアを取り巻く環境が日々進化し、サイバー攻撃のリスクも増大する中、企業にとってソフトウェア部品表（SBOM：Software Bill of Materials）の重要性がかつてないほど高まっています。SBOMは、ソフトウェアに含まれる全てのコンポーネントを明確にし、セキュリティの透明性を確保するための基本的なツールです。しかし、SBOMを単なる構成管理表として捉えるのではなく、企業全体のセキュリティ戦略として活用するためには、明確な方針と実効的な運用が必要です。

本稿では、法規制に基づく導入要求の背景、ソフトウェアサプライチェーンリスクの特性、SBOM運用の課題、そしてどのようなアプローチが必要になるのかを掘り下げて解説します。

企業はどう立ち向かうべきか。解決の方向性

SBOMの活用を企業全体で取り組むには、どのように論点を組み立て、アプローチしていく必要があるのでしょうか。前述のとおり、企業ではSBOMの導入の初期の段階で、躓いているケースが多く見られます。そのような場合においては、例えば以下のようなアプローチを取ることが有効です。

1. SBOM活用目的の整理

SBOMは、ソフトウェアの透明性を高め、サイバーセキュリティや規制対応を強化するための重要なツールとなります。しかしその効果を最大化するためには、単なる導入に留まらず、「何を達成したいのか」という目的を組織全体で設定することが必要不可欠です。サイバーセキュリティの観点でいうと、脆弱性管理やインシデント対応が基本的な目的となります。一方で知財部や購買部、法務部の立場からは、ソフトウェアのコンプライアンス的な観点から第三者対応やライセンス管理などをSBOMに求めることになります。このようにSBOMの活用にあたっては、企業内でのさまざまな立場から目的を整理し、誰もが利益を享受できるよう建付けを整理していくことが肝要となります。

2. 推進チームの組成（役割分担の決定）

目的を整理したのちには、推進チームの組成をします。SBOMの活用は、単一の部署で完結することはありません。開発、IT運用、セキュリティ、調達、法務など複数の部署が関与するため全体を統括し、推進する仕組みが必要になります。推進チームを組成することにより、全社的なSBOM活用の効率化、リスク管理能力の向上、対象拡大時のスムーズな対応、経営層との円滑なコミュニケーションが可能になります。

3. 全社としてのガバナンスの在り方の設定

SBOM活用を社内全体に普及させていく際に決めておかなければならないポイントは、全社としてどこまでのガバナンスを効かせるかという点です。製品開発は、各部門が固有の環境や製品特性を把握していることがほとんどであり、全社で択一的な共通ルールを敷設するのは現実的ではありません。とはいえ、法規制対応や企業としての最低限のベースラインのルールを定めておかなければ、企業全体での構成管理の推進を底上げすることは難しくなります。推進チームが一体となり、この統制をどこまで利かせるのか（例：最低限のベースラインとなるルール・プロセスを展開し、プラットフォームとなる基盤を提供。ただし、部門で最適化させる領域については個別カスタマイズを可能とする等）を検討していくことが重要です。

4. プラットフォーム基盤とコスト負担元の整理

SBOMはソフトウェアの構成要素（オープンソースやサードパーティ製コンポ―ネントを含む）を網羅的に把握するために有用です。そのためデータ管理と可視化が可能なプラットフォームが必要となります。そこでは、プラットフォーム基盤を全社としてどこまで管理するのかを決めておく必要があります。例えばある企業では、基盤となるハードやOS/MW領域と共通設定までは全社統一のツールとして準備、それ以上のレイヤーでの個別カスタマイズについては部門で柔軟に変更して良いというポリシーで運用をしています。こうすることで、企業全体での最低限のベースラインとしての統制を効かせつつ、開発部門の開発自由度を担保することが可能となります。またその際には、導入コストや運用コスト、拡張時のコストをどこがどのような形態で負担するのかも、整理していく必要があります。

5. SBOMのフォーマットの設定

SBOMにはいくつかの標準フォーマットが存在し、それぞれの特性に応じて適切に選定する必要があります。例えば、SPDX（Software Package Data Exchange）はLinux Foundationが主導するオープンソースプロジェクトで国際標準（ISO/IEC 5962:2021）としても認定されています。特徴としては、オープンソースライセンス情報に特化、幅広いソフトウェアのコンポーネントの正確な識別が可能、多くのファイル形式（txt、JSON、YAML、RDF、XML）に対応可能であることが挙げられます。他にも、Cyclone DXなどのフォーマットがありますが、企業としての開発特性や法規制への対応などの目的と照らし、出力したい内容やファイル形式を踏まえて適切なフォーマットを選択する必要があります（図表3）。

図表3：出力内容をSPDXフォーマットに変換したときの例

6. サプライチェーン対応の在り方の決定

サプライチェーンの対応は、SBOMの状態を正確に最新に保つためには避けては通れません。特にソフトウェアはその依存関係から、自社だけで完結することが少なくサプライヤーからの納品物に対して、SBOMの提出を義務化することも必要になります。企業としては、有事の際や第三者からSBOMの提示を求められた際にサプライヤーと連携し、提示できるよう平時からサプライヤーとコミュニケーションを取り、必要に応じて契約書に盛り込んでおくなどの準備が肝要です。その重要性をしっかりと理解し、各部門に対するベースラインとしても、その観点を周知し、取り組みを徹底させることが重要です。