公開：
SBOM導入は何から始めるべき？経済産業省の手引をヒントに考える
ソフトウェアサプライチェーンを標的にした攻撃が増加するなか、経済産業省は2023年7月に「ソフトウェア管理に向けたSBOMの導入に関する手引」（以下、「手引」）を策定し、2024年8月にはver2.0へと更新しました。この改訂では、脆弱性管理プロセスの具体化に加え、業界ごとの推奨範囲を示す対応モデルや、契約・責任分担を整理した取引モデルが新たに盛り込まれています。
一方で、「自社プロダクトのサプライチェーンリスクに不安があるが、何から手を着ければいいかわからない」という方も多いのではないでしょうか。
本記事では、経済産業省の手引を読み解きながら、これからSBOMを導入する企業が取り組むべきこと、受託開発で受注者・発注者それぞれが果たすべき役割について解説します。
※以下、「手引」の引用箇所はすべてver2.0より
目次
なぜ経済産業省はSBOMに注目しているのか | 手引の背景
手引が策定された背景には、近年のソフトウェアの複雑化に伴うオープンソースソフトウェア（OSS）関連のインシデントの多発、それらを受けた各国での法整備などがあります。
まずは、なぜ経済産業省がSBOM導入を推進しているのか、背景について見ていきましょう。
ソフトウェアの複雑化・OSS利用の一般化
手引の冒頭には、ソフトウェアサプライチェーンが複雑化するなかで、各企業が自社のプロダクトの全体像を把握しづらくなっている状況が解説されています。
組織内のITシステムで利用されているソフトウェアを資産管理している組織は多いが、開発者が直接利用している上位のコンポーネントのみが資産管理の対象となり、直接利用のコンポーネントに内包されて間接的に利用される下位のコンポーネントの多くは資産管理の対象外となっている。したがって、脆弱性情報と資産管理台帳を照らし合わせるだけでは、下位のコンポーネントとして利用されるOSSのようなコンポーネントにおいて脆弱性が発見された場合に、間接的な脆弱性の影響を検知することができない。
（「手引」p.1より）
有償の他社ツールを組み合わせて開発するのが主流であったかつては、脆弱性が見つかっても開発元（ベンダー）に修正を任せることができました。
しかし現在は、OSやデータベースなどにOSSを多用する開発が一般的です。その結果、自社製品にどのような部品がどれだけ含まれているかを把握しきれない企業が増えており、脆弱性への対応が難しくなっています。
管理の重要性を知りながらも膨大なコンポーネントの管理が追い付かず「脆弱性が見つかったらパッチを当てる」という後手の対応に留まっている企業も少なくありません。
サプライチェーン攻撃の増加と海外での法整備
自社製品の全体像が見えない一方で、そこを狙ったサイバー攻撃は急増しています。ひとたびOSSに脆弱性が見つかれば、企業はまず「自社製品にその部品が使われているか？」という調査から始めなければならず、対応が後手に回るケースが後を絶ちません。
こうした危機感から、米国の大統領令やEUのサイバーレジリエンス法など、世界中でソフトウェアの透明性を求める法整備が進んでいます。そのなかで重視されているのが、ソフトウェアの成分表ともいえるSBOMの導入です。
経済産業省の手引は、こうした国際的な流れを受け、日本企業がスムーズにSBOMを導入・活用できるよう、具体的な手順やメリット、直面しやすい課題への処方箋をまとめたガイドラインとなっています。
企業は何から始めるべきなのか | SBOM導入プロセス
手引では、SBOM導入に向けて企業が取り組むべき内容が3つのフェーズに整理されています。
＜SBOM導入プロセス＞（「手引」p.32～）
- 環境構築・体制整備フェーズ
SBOM導入に向けた土台作りのフェーズ
（SBOM適用範囲の明確化、SBOMツールの選定、ツールの導入・設定、ツールの使い方の習得など） - SBOM作成・共有フェーズ
実際にSBOMを作成し、必要に応じて関係者間で共有する仕組みを整備するフェーズ - SBOM運用・管理フェーズ
作成したSBOMを運用し、脆弱性管理とライセンス管理を継続的に実施するフェーズ
これらのフェーズをすべて完璧に実践しようとすると、多くの工数やコストがかかるため、ハードルが高く感じられるかもしれません。
手引では、最初からすべてを網羅することを目指すのではなく、まずは「SBOMを作成してみて、自社システムにどのような脆弱性が潜んでいるのかという現状を把握する」ことが最初の一歩として推奨されています 。
まずは主要なプロダクトについてSBOMを作成したうえで、リスク管理の精度を少しずつ高めていくのが確実な進め方といえるでしょう。
SBOMツールをどのように選ぶべきか | 初めての導入で留意したいポイント
数千・数万のコンポーネントを含むソフトウェアの構成を手動で管理することは現実的ではなく、SBOMの作成や管理にあたっては、専用のツールの活用が事実上必須となります。
手引では、SBOMツールの活用にあたって考慮すべきポイントとして、次のような事情が挙げられています。
【SBOM導入に向け認識しておくべきポイント】
- 有償のSBOMツールは一般に高価である。一方で、無償のSBOMツールは、ツール自体のコストは無料であるものの、環境整備や学習に当たっての情報が不足しており、導入・運用に大きな工数を要する可能性がある。
- 有償のSBOMツールと比較して、無償のSBOMツールの機能・性能は限定的である場合が多く、例えば、再帰的な利用部品が検出できない、読み込み可能なSBOMフォーマットに制限がある、ライセンスの検知漏れが発生する、導入環境が限定される等の課題がある。
- SBOM導入が原因で開発効率が著しく下がることのないよう、既存の開発プロセスへの組込が容易なSBOMツールを選定し、開発者に負担をかけない運用を心がけることが必要である。
- SBOMツールの選定にあたり、無償トライアル等を利用して実際の使用感を体験することが効果的である。観点の設定や選定に難しさを感じる場合には、複数のSBOMツールを扱う販売代理店に相談し、各ツールの特徴や長所・短所を比較評価しながら選定することも一案である。
（「手引」p.39より。一部を引用）
このように、ツールの選定にあたっては、検知の精度や自社の環境との相性などさまざまな要素を考慮する必要があります。
特に、初めてSBOMを導入する場合は、ツール自体のスペックに加えて「環境整備や学習にあたりベンダーのサポートを受けやすいか」もポイントとなるでしょう。
発注者と受注者はどのように連携すべきか | SBOM取引モデル
受託開発でSBOMの導入・運用を円滑に進めるためには、発注者と受注者の健全なパートナーシップが欠かせません。
最後に、手引を手掛かりに、受託開発でSBOM導入を成功させるために受注者・発注者が取り組むべきことを解説します。
SBOM取引モデル
手引には、SBOMの導入・普及を阻む本質的な問題として、コスト負担と便益享受の非対称性が指摘されています。
SBOMのメリットは、サプライチェーンを通じて標準化された部品情報の共有と自動処理による効率化が挙げられる。特にSBOMを受け取る委託元の便益は大きいが、委託先はそのために追加負担を強いられることもあり、受発注者間で得られる便益が異なる。
そのようなことから、サプライチェーンを通じたSBOMの普及のためには、受発注者間で得られる便益に応じた対価負担の取り決めが必要であり、委託契約において、SBOMの対応範囲とそれに対する対価負担、責任の明確化が必要である。
（「手引」p.128より）
この非対称性を解消するために手引が示しているのが、取引契約でSBOMの要求・責任コスト負担を明確に規定する「SBOM取引」モデルです。
具体的には、採用するSBOMフォーマット、SBOM作成の範囲（間接利用部品をどこまで含めるか）、脆弱性の監視・通知の義務、対価の見積もりなどを契約書レベルで明確化することで、受発注者が対等な立場でSBOM対応を進めることが重要と説明されています。
このモデルをふまえ、受注者・発注者それぞれがSBOM運用で留意すべきことを整理してみましょう。
受注者に求められる取り組み
「OSSに脆弱性が潜む可能性は認識しているが、顧客との契約に日々の脆弱性チェック（SBOM運用）に必要なコストが含まれていない」という課題を抱えるSIerは少なくありません。そのため多くの現場で、リアルタイムの脆弱性検知まで至れず、数ヶ月おきなどの定期チェックにとどまっているのが実情です。
受注者として取り組むべきは、発注者に対してSBOM管理の必要性と、それを適切に行うためのコストを明確に伝えることです。あるOSSを使う案が出たとき「そのOSSを使うことでどんなリスクがあるのか」「そのリスクに対応するためにはどんな保守体制が必要で、どれくらいコストがかかるのか」などを事前に提示し、双方が納得のうえで合意を形成しておくことが求められます。
発注者に求められる取り組み
SBOM導入に向けた実務を担うのは受注者であるものの、発注者もまたサプライチェーン攻撃が自社のビジネスにもたらすリスクを意識し、主体的に対応する必要があります。
発注者の姿勢として重要なのは、SBOM管理を含む保守費用を「正当なコスト」と認識し、適正な対価を払うことです。
「システムを構築して終わり」ではなく、運用期間中は継続的な脆弱性対応が欠かせません。今後のソフトウェア調達では、開発費用だけでなく、SBOM管理を含む保守費用を予算に組み込むことが、セキュリティリスクへの適切な対応と、受注者との健全なパートナーシップの構築につながります。
SBOM管理の「入り口」に立つために
経済産業省がSBOM手引を策定・更新してきた背景には、サプライチェーン攻撃の急増や、米国・EUに代表される国際的な規制の動向があります。2021年に発生したLog4Shellのような深刻なリスクに対応するため、そしてグローバル市場でビジネスを継続するため、SBOMの導入を速やかに進める必要があります。
OSSの脆弱性は日々大量に検出されており「導入当日は問題なかったコンポーネントについて、翌日には重大な脆弱性が見つかる」といったケースは珍しくありません。ひとたびSBOM運用を始めれば、頻繁なアラートに「どう対応していいかわからない」と悩むかもしれませんが、リアルタイムでリスクを検知できる体制の構築が、顧客の安全や自社のビジネスを守る第一歩です。
AGESTの「SBOM Archi」では、SBOMの作成から脆弱性情報との照合・リスク評価まで、SBOM管理の「入り口」をサポートします。導入や運用にお悩みの企業は、ぜひ一度ご相談ください。
