公開：
「言語の違い」よりも大きな壁とは？海外製よりも国産SBOM管理ツールを用いるメリット
頻発するサプライチェーン攻撃への危機感から、日本でもSBOM（Software Bill of Materials）導入を検討する企業が増えてきました。
一方で、SBOM管理ツールのほとんどは海外製ツールであり、「自社の環境で活用できるのか確信が持てない」「ベンダーとのコミュニケーションに不安がある」などのように二の足を踏む担当者も多いのではないでしょうか。
SBOMの環境構築や学習、実際の運用にあたってはさまざまな知識が必要とされるなか、海外の高機能なツールを導入しても、使いこなせなければSBOM運用が形骸化し、セキュリティ対策の不備につながります。
そこで検討したいのが、国産ツールの活用です。国内ベンダーのサポートがあるツールでSBOM導入を進めることで、学習・環境構築や実際の運用のハードルを下げ、継続的なセキュリティ対策を実現しやすくなります。
本記事では、SBOM運用にあたって多くの企業が直面するハードルと、国産ツールを使うことでそれらをどのように乗り越えやすくなるかを解説します。
目次
SBOM管理ツールとは
SBOMは、ソフトウェアに含まれるすべてのコンポーネントやそれらの依存関係、ライセンスデータなどをリスト化した一覧表です。2021年末に発見されたLog4jの脆弱性（通称「Log4Shell」）のような事例により世界各国でサプライチェーンリスクに対する意識が高まるなか、日々大量に発見される脆弱性への対応策として注目されています。
SBOM管理ツールとは、このSBOMの作成・更新・共有に加え、最新の脆弱性情報データベースとの照合を自動化するためのソフトウェアを指します。現状はほとんどが海外ベンダーによるツールですが、日本でも行政によるSBOM活用の推進を受けて各ベンダーが開発・提供を進めており、国産ツールの選択肢も徐々に増えています。
SBOM運用の難しさ
SBOMは正しく運用すれば、サプライチェーンリスクに対する有効な対抗手段となる一方で、管理ツールを用いた導入と実際の運用には多くの困難が伴います。
学習や環境構築にコストがかかる
SBOMの導入にあたっては、次のように多くの学習・環境構築のコストがかかります。
- SBOMを扱うための組織体制・運用フローの整備
脆弱性管理における役割分担や、脆弱性発見時のエスカレーション、対応判断の流れなど - SBOMの作成・受領・共有・管理・活用のための環境構築
既存の開発環境やセキュリティ管理基盤との連携方法 - 脆弱性情報の見方や、優先順位付けの考え方
ツールが脆弱性判定に用いる指標をどのように解釈し、どのように対応の優先度を考えていくか
SBOMを初めて導入する場合、このような多くの学習・環境構築を前提知識がない状態から進める必要があり、社内で完結しようとすれば、担当者に大きな負荷がかかります。
加えて、プライムベンダーとして他社に開発の一部を委託している場合は、フォーマットの互換性の問題にも注意が必要です。
一般的なSBOMのフォーマットには「SPDX」と「CycloneDX」などの複数の種類があり、それぞれ記述できる項目や構造が異なります。変換の際に情報が欠落するリスクを避けるためには、フォーマットを統一したうえでSBOMの納品を要求する必要があり、下請企業の管理工数も発生します。
ツールだけでは対応策が立てられない
SBOM管理ツールは、日々新たに発見される脆弱性情報を対象プロダクトの中身と照合し、「CVSS」（脆弱性自体の深刻度）や「EPSS」（実際に悪用される可能性）といった汎用の指標をもとに、リスク判定や対応策のサジェストを自動で行います。
しかし、実際の対応にあたっては、ツールの判定通りに対応するだけでは不十分です。「その脆弱性を放置することで、自社のシステムへの実害は発生するか（対応の必要があるか）」「ライブラリを取り除くようにサジェストされたが、WAFの見直しで十分なのではないか」など、自社のビジネス文脈に基づき多様な事情を考慮した判断が求められます。
SBOMおよびセキュリティに関するナレッジが不足した現場では、SBOMを導入しても「ツールから出力される情報をどう対応につなげればいいかわからない」という状態に陥るのです。
海外製ツールの使用で生じる3つの壁
先述のようなSBOM運用自体の難しさに加え、経験の浅いチームが海外製ツールでSBOM導入を進めた場合は、継続的なセキュリティ対策にあたって次のような困難が伴います。
サポートにアクセスしづらい
ツールの導入初期や運用のなかでは、ベンダーに問い合わせてサポートを求めたい状況が生じることもあるでしょう。しかし、海外製ツールの場合、問い合わせ対応が英語前提であるケースが一般的であり、技術的に込み入った相談をするために大きなコミュニケーションコストがかかります。
翻訳ツールで理解を試みたとしても、セキュリティ領域は特有の固有名詞や略語が多く、機械翻訳での正確な伝達が難しい分野です。専門用語が文脈に合わない日本語に置き換えられることで、誤った判断につながるリスクもあります。
契約のハードルが高い
海外製のSaaS型ツールでSBOMを導入するということは、プロダクトの内部構造を国外のサーバーに送信することを意味します。
致命的な情報漏洩を避けるためには、契約前にデータ管理ポリシーや約款に目を通し、「データがどのようにサーバーに保管されるか」「データの責任分担はどのように定められているか」などを入念に確認する必要があります。これらの法的・技術的な文脈が入り組んだ内容を英語で正確に読み解くには専門知識と相応の工数が求められ、不明点をベンダーに直接問い合わせるにも、言語の違いがハードルとなります。
加えて、海外製ツールは製品の入れ替わりも多く、短期間で仕様が大きく変更される可能性や、サービス自体が終了するリスクもゼロではありません。自社の機密情報を預けるツールとして、継続性の観点からも慎重な判断が求められるのです。
日本のユーザーの声が届きづらい
グローバル展開している海外ベンダーにとって、日本市場は必ずしも優先度の高いターゲットではありません。機能改善の要望を出しても対応が後回しになることが珍しくなく、日本特有の商習慣や市場環境、規制などに即したアップデートを期待しづらいケースもあります。
改善のフィードバックループが機能しなければ、不便さに甘んじたまま使い続けるか、場合によってはサービスの乗り換えなどの選択を迫られることとなります。
国産ツールを使用するメリット
海外製ツールを使う際にネックになるポイントをふまえたうえで、国産ツールが持つ強みを3つの観点から解説します。
学習コストが低く、立ち上がりをスムーズに進められる
国産ツールの場合、マニュアルが日本語で整備されており、導入支援も日本語で受けられるため、ツールの使い方を習得するための時間と工数を大幅に削減できます。
また、自社のビルド環境に合わせた更新設定、事業の文脈に合わせた適切なアラートの通知基準など、ストレスなく継続的に運用しやすい体制構築についてアドバイスを受けることも期待できます。
トリアージへの助言がもらえる
SBOM活用やサプライチェーンリスクへの知見が不足する企業では、ベンダーと連携してトリアージにあたれる点が大きなメリットとなります。
重大な脆弱性が見つかった際、国内市場に理解のあるベンダーに助言を求めることで、自社のビジネスの文脈や日本の法規定に沿った適切な対応を実現しやすくなります。
また、SBOMに限らず、開発部門とセキュリティ部門が分かれている企業では、セキュリティ部門からの指摘が「重箱の隅をつついている」と誤解され、対立につながる可能性もあります。一方、ベンダーの客観的なフィードバックのもとリスクを整理すれば、関係者全員が納得したうえで対応にあたりやすくなるため、組織全体の合意形成プロセスに対する影響も期待できます。
フィードバックループが機能する
ベンダーの拠点が日本にあれば、展示会やパートナー説明会などを通してベンダーとユーザー企業が接点を持つこともあるでしょう。こうした場は、ベンダーから運用についての助言を受けるだけでなく、ユーザーから直接サービスに対する所感や要望を伝える機会としても活用でき、双方向のフィードバックループが機能します。
また、直接的に自社のニーズを届けられるだけでなく、ほかのユーザー企業からのフィードバックも反映されることで、国内企業のニーズに合わせた継続的なアップデートを期待できるといったメリットもあります。
国内ベンダーの知見を借りて、無理なくSBOM導入を進める
SBOMを通したセキュリティ対策には、導入から運用まで多くのハードルがあり、良質なツールを導入してSBOMを作成しても、学習コストがネックとなり形骸化してしまうケースは少なくありません。そんななか、国産ツールで距離の近いベンダーのサポートを受けることで、初めて導入する企業でも継続的な運用を実現しやすくなります。
AGESTのSBOM Archiは、SBOMの導入から運用までをトータルでサポートし、貴社のソフトウェア開発効率とセキュリティ成熟度の向上に貢献。国内市場の状況に理解のある担当者が、貴社のビジネス文脈に合わせて無理ないペースでの導入を支援いたします。
SBOMの導入や運用に課題を持つ企業は、ぜひ一度ご相談ください。
