SBOM普及の本格化～ソフトウェアサプライチェーンの構造的な課題と解決策～

はじめに

近年ソフトウェアサプライチェーンに由来するリスクが顕在化する事例が目立っており、深刻な事態に発展することが懸念されています。実際に、ソフトウェアの配布プロセスやソフトウェア部品の脆弱性を狙うサイバー攻撃が頻発し、多くの組織が影響を受けています。これは個々の組織のセキュリティ対策の問題ではなく、ソフトウェアサプライチェーンの構造的な課題であるため、業界全体の取り組みによる対処が求められています。

ソフトウェアサプライチェーンの安全性を高めるための仕組みとして、ソフトウェア部品表（SBOM¹：「エスボム」と発音）があります。ソフトウェアサプライチェーンのリスクが高まる中、SBOMは特定業界だけでなくソフトウェアに関わる全ての組織で採用されるべき仕組みとして注目されています。本稿ではSBOMとは何かを解説し、導入に向けてどのような準備をすべきか提言します。

SBOMが解決する課題

SBOMによる解決が期待されている一番の課題は、依存しているソフトウェア部品の脆弱性対応です。ユーザー組織における一般的な脆弱性対応は、①IT資産の把握、②脆弱性情報の収集、③修正措置の適用という流れで実施されますが、①で作成するIT資産台帳の管理対象は、通常は依存関係で上位にあるソフトウェアのみであり、下位のコンポーネントは含まれません。例えば、Javaで書かれたアプリケーションがLog4jを部品として使用している場合、上位のソフトウェアに対して、Log4jは下位コンポーネントに位置付けられます。

ソフトウェアの依存関係とIT資産管理の対象

そのため、IT資産台帳に基づいて情報収集するだけでは下位コンポーネントの脆弱性情報を検知することができません。また、セキュリティメディアの報道などによりコンポーネントの脆弱性に関する情報を検知できたとしても、自組織のIT資産における影響範囲を特定するためには利用有無を個別に調査する必要があります。食品の例えに戻ると、1つ1つの食品を味見して原材料を特定するようなものであり、そのやり方では抜け漏れが生じる恐れがあります。

また、SBOMデータにハッシュ値を含めることでコンポーネントの真正性（本物であること）を担保する仕組みも検討されており、ソフトウェアに仕掛けられたバックドアや偽のアップデートファイルの検知が可能になることも期待されています。

まとめ ～SBOM普及の現在地とこれから～

SBOMはソフトウェアサプライチェーンの透明性を確保するための仕組みであり、OSSに代表されるコンポーネントの脆弱性対応を効率化できるといったメリットがあります。米国では「最小要素」を出発点とし、ガイダンスの公開や継続的な官民の対話を通してSBOMの普及が本格化していくことが見込まれます。日本においても国内施策や国際連携によりSBOMの普及が進められており、企業・組織にとってSBOMの導入はもはや必須であり、そこから取り残されることは大きなリスクになると言えるでしょう。

「最小要素」をまとめた米商務省国家電気通信情報庁（NTIA）は、「SBOMがソフトウェアアシュアランスおよびサプライチェーンリスクマネジメントを推進するための優先事項の1つであり、完璧を待つよりも今日始める方がより望ましい」と述べています。自組織でのユースケースの検討やサプライチェーン間での対話など、以下の推奨事項に示す通り、SBOMを真に有効活用するために今できることからまず始めてみることが重要です。

＜推奨事項＞SBOMデータを利用する企業・組織

• SBOMデータを利用する企業・組織は、脆弱性対応やライセンス管理のあるべき姿（To-Be）と現状（As-Is）を整理し、ギャップ分析を行う。
• その上でSBOM導入のための具体的なアクションを策定する。
• 特に、IT資産管理と脆弱性対応はSBOM導入の前提条件になるため、課題がある場合は先行して解消する。

＜推奨事項＞ソフトウェアベンダー

• SBOMの作成と共有を行うために、仕様やツールの選定および具体的な共有方法などの検討を開始する。
• 今後NTIAが公開するSBOMを提供するためのガイドラインを参照する。