ソフトウェアサプライチェーン実態調査 SBOMを活用したサプライチェーン管理の課題

PwCコンサルティング合同会社と日本シノプシス合同会社は2024年3月、製造業におけるソフトウェアサプライチェーン管理としてソフトウェア部品表（SBOM：Software Bill Of Materials）を意識している日本企業を対象に、セキュリティ対策状況に関する調査を実施しました。

本稿では調査結果を基に、企業のソフトウェアサプライチェーンに対する取り組みの現状と今後求められるセキュリティ活動について考察します。

SBOMに関する詳細な分析、今後の対策に関しては、PDFに掲載しています。こちらからダウンロードしてご確認ください。

図表1：調査概要

目的	製造業におけるソフトウェアサプライチェーンに関するセキュリティ対応状況を概観する。製造業におけるソフトウェアサプライチェーン管理としてSBOMを意識している方へ有益な参考情報を提供する。
調査方法	ウェブによるアンケート
調査対象	製造業におけるソフトウェアサプライチェーン管理としてSBOMを意識している日本企業の以下の部門に所属する方々製品企画設計開発製造調達販売・営業品質保証技術法規管理リスク・監査情報システム部・CSIRT（Computer Security Incident Response Team） PSIRT（Product Security Incident Response Team） DX・サービス
調査項目例	法規制・標準・認証要件への対応状況 SBOMへの理解 SBOMの利用状況と課題感 SBOMフォーマットの利用状況 SBOMツールの利用状況
調査期間	2024年3月
調査数	300名

進みつつある製品セキュリティに関する海外の法規制への対応

はじめに、製品セキュリティにおいて注目度の高い以下の法規制の対象となる企業の対応状況を調査しました。

日本電気通信事業法技術適合要件におけるセキュリティ要件
米国カリフォルニア州法 Senate Bill No. 327
英国 Product Security and Telecommunication Infrastructure Act（PSTI法）
EU Cyber Resilience Act（CRA）
EU Radio Equipment Directive（RED）におけるセキュリティ要件
International Medical Device Regulators Forum（IMDRF）
米国 Food and Drug Administration（FDA） Medical Device Cybersecurity Guidance
WP29 UNR-155/156
米国 NHTSA Cybersecurity Best Practices for the Safety of Modern Vehicles （2022）
ETSI EN 303 645
米国 Cyber Trust Mark（案）
米国 CISA Secure Software Self-Attestation Common Form
シンガポール Cybersecurity Labeling Scheme（CLS）
ISA Secure CSA Certification（IEC 62443-4-1, 4-2）

PSTI法、CRA、REDに関する各企業の対応状況

各法規制の中でも、特に発行目前となる欧州のPSTI法、CRA、REDに関する回答結果を見てみましょう。現在所属する企業において英国に向けてデジタル製品を提供していると答えた95人のうち、22人はPSTI法に全社対応済みと回答しました。EUに向けてデジタル製品を提供していると答えた110人のうち、30人はCRAに全社対応済みと回答し、28人はREDに全社対応済みと回答しました。

このことから、SBOMへの関心が高く、かつ欧州デジタル製品を提供していると答えた回答者が所属する企業においては、4分の1程度が関連する法規制への対応が完了していることが分かりました。一方で、図表2のように、PSTI法に関しては半数以上が対応未完了の状態となっており、CRA、REDに関しては半数近くが対応未完了でした。また、1割程度の回答者は、欧州にデジタル製品を提供しているにもかかわらず、関連する法規を知らないという状況です。

また、図表3と図表4の分布を比較すると、CRAおよびREDへの対応状況が類似している企業に所属している回答者が多いことが分かります。これは、SBOMに対して感度が高い企業は、将来的にRED要件はCRA要件によって委任規制され、修正あるいは廃止される可能性があることを理解しており、2つの法規制への対応を同時進行で進めていると考えられます。

日本の製造業全体に対して弊社が2023年10月に行った調査（日本企業の欧州サイバーレジリエンス法対応実態調査～SBOM活用状況と活用に向けた課題では、CRAの認知率が1割程度だったことを踏まえると、SBOMへの関心が高い企業では、製品セキュリティに対する各法規制への対応が進みつつあることがうかがえますが、対応が完了していない企業も依然として多い状況に変わりはありませんでした。