SBOMとは？メリットなどをわかりやすく解説

SBOMが注目される背景

SBOMが注目される背景として、ソフトウェアの供給チェーンに対するセキュリティリスクの増大がある。

ソフトウェア開発において、多くの企業は自社製品にオープンソースや他社製品を組み込むことが一般的となっている。その中で、未知の脆弱性が含まれているリスクが高まっている。2017年のApache Strutsの脆弱性を悪用したEquifaxのデータ漏洩事件や、2020年のSolarWindsのサプライチェーン攻撃は、その深刻さを示す代表的な例である。これらの事件を通じて、ソフトウェアの供給チェーン全体を透明化し、各コンポーネントのセキュリティ状況を把握する重要性が広く認識されるようになった。

さらに、政府や規制当局からの圧力もSBOMの普及を後押ししている。アメリカ合衆国のバイデン大統領は2021年にサイバーセキュリティ強化に関する大統領令を発令し、その中でSBOMの作成と提供を義務付けた。この動きは、他の国々や企業にも波及し、グローバルな標準となりつつある。EUにおいても、サイバーレジリエンス法によりSBOMの提供が求められており、ソフトウェアの安全性と信頼性を高める取り組みが進められている。

日本においても同様の動きが見られる。経済産業省が中心となり、SBOMの導入と普及を推進している。これにより、企業は自社のソフトウェア製品がどのようなコンポーネントから構成されているかを明確にすることで、脆弱性が発見された際の迅速な対応が可能になる。また、顧客やパートナーに対しても透明性を提供し、信頼性を高めることができる。

これらの要因から、SBOMは今後ますます重要性を増していくと考えられる。

SBOMのフォーマット

SBOMは、標準化されたフォーマットで記述されることで、ツール間での互換性や情報交換の効率化が図られる。現在、広く利用されているSBOMのフォーマットは以下の2つだ。

1. SPDX (Software Package Data Exchange): Linux Foundationが主導するオープンソースプロジェクトによって開発されたフォーマットだ。ソフトウェアコンポーネント、ライセンス、著作権、セキュリティに関する情報を記述できる。JSON、RDF、XML、YAML、Tag-Valueなどの形式で表現可能で、柔軟性が高い。

2. CycloneDX: OWASP（Open Web Application Security Project）が開発したフォーマットだ。SPDXと同様に、ソフトウェアコンポーネント、ライセンス、脆弱性に関する情報を記述できる。JSONとXML形式で表現可能で、シンプルで扱いやすいのが特徴である。

どちらのフォーマットも、SBOMに必要な情報を網羅的に記述できるが、それぞれ特徴がある。

• SPDX: 柔軟性が高く、様々な情報を記述できる。ただし、記述が複雑になる場合がある。
• CycloneDX: シンプルで扱いやすい。ただし、記述できる情報の種類がSPDXに比べて少ない。

SBOMのフォーマットは、国際標準化機構（ISO）や米国国立標準技術研究所（NIST）など、様々な標準化団体によって標準化が進められている。SBOMの標準化は、SBOMの普及と活用を促進し、ソフトウェアサプライチェーン全体のセキュリティ強化に貢献すると期待されている。

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.4",
  "serialNumber": "urn:uuid:3e671687-395b-41f5-a30f-a58921a69b79",
  "version": 1,
  "metadata": {
    "timestamp": "2023-06-16T09:30:15Z",
    "tools": [
      {
        "vendor": "CycloneDX",
        "name": "cli",
        "version": "1.0.0"
      }
    ],
    "component": {
      "type": "application",
      "name": "MyApplication",
      "version": "1.0.0"
    }
  },
  "components": [
    {
      "type": "library",
      "name": "log4j",
      "version": "2.17.1",
      "purl": "pkg:maven/org.apache.logging.log4j/log4j@2.17.1",
      "licenses": [
        {
          "license": {
            "id": "Apache-2.0"
          }
        }
      ]
    },
    {
      "type": "library",
      "name": "spring-core",
      "version": "5.3.18",
      "purl": "pkg:maven/org.springframework/spring-core@5.3.18",
      "licenses": [
        {
          "license": {
            "id": "Apache-2.0"
          }
        }
      ]
    }
  ]
}