SBOMとは？ 注目される背景と利点、導入時の課題を解説

事例に見るサプライチェーン攻撃

2021年には、広く利用されているシステムのログを記録するためのソフトウェアパーツであるOSSに脆弱性が発見されたことをきっかけに、世界中のソフトウェアベンダや利用企業が大混乱に陥った事件がありました。このOSSが組み込まれているソフトウェアは、脆弱性を悪用した攻撃を受ける可能性がありましたが、どのソフトウェアにこのOSSが組み込まれているのか調べるのに時間を要し、自社開発したものに該当のOSSを使っているのか分からない、といった非常事態になりました。

サプライチェーンの各工程の流れの中では、複数の異なるコンポーネントが複雑に絡み合っています。そのためソフトウェアの根本的な構成要素を完全に把握することが難しい場合があるのです。このような背景から、SBOMといわれるソフトウェアの構成表（部品管理）の必要性が増しています。

SBOMの利点

この章ではセキュリティ担当者におけるSBOMの利点について３つ紹介していきます。

ソフトウェアセキュリティの強化：SBOMはソフトウェアコンポーネントの構成表です。明確な構成情報を整理しておくことで可視性が高まり、組織はセキュリティリスクをもたらす可能性のある脆弱性や古いソフトウェアバージョンを特定できます。SBOMの導入により、組織はセキュリティリスクに対処する積極的な措置を講じることができます。

サプライチェーンのリスク軽減：ソフトウェア開発におけるサプライチェーンは複雑で、複数のベンダやパートナーが関与しています。そのため、それぞれのコンポーネントが脆弱性を抱えていたり、不適切である場合があり、こうしたリスクが組織のシステムに不具合やセキュリティ問題を引き起こす可能性があります。SBOMの導入により、サプライチェーンで使用されているソフトウェアの全コンポーネントの詳細が明確になるため、潜在的なリスクを特定し対策を打つことで、システム全体の安全性を確保し、企業のセキュリティを強化する役割を果たします。

ライセンス違反のリスクを可視化：SBOMにはソフトウェア製品を構成する各コンポーネントのライセンス情報も含まれます。これらの情報により、使用されている全てのコンポーネントがどのようなライセンスで提供されているのか、またそれらが法的に問題を引き起こす可能性があるのかを具体的に把握することが可能になります。ソフトウェア間での依存関係（あるコンポーネントがほかのコンポーネントに依存している状態）の確認も可能なため、間接的に利用しているコンポーネントについてもライセンス違反がないか確認できます。

また、SBOM導入は開発遅延の防止や開発にかかるコストの低減、開発期間の短縮も期待できるため、「開発生産性の向上」という意味でもソフトウェア開発に携わる全ての方にSBOMを設計の中に組み込むことをお勧めします。

SBOM導入の課題

サプライチェーンを狙うサイバー攻撃の手口は複雑かつ高度化しており、前述の米国におけるサイバー攻撃の事例からも分かるように、被害を受けるとその影響範囲は大きく、企業に大きな損害をもたらします。高度化するサイバー攻撃の被害を防ぐためにも、SBOMの導入は有効な手段であると言えます。

しかし、SBOMの導入にはいくつかの課題があります。

まずは、多くのSBOMが海外製であり、導入・運用のハードルが高い点です。問い合わせ窓口が英語であることが多く、疑問点や不具合の解決が難しい場合があります。

次にSBOMの正確な運用には深い知識と情報が必要であり、これが不十分であると効果的な導入・運用が進まないことが挙げられます。また、SBOMツールが既存のツールやシステムとの連携ができない場合、効率的な運用や一元管理が難しくなるためこちらも事前の確認が必要です。

加えて、導入しただけではセキュリティ対策は万全とはいえず、適切に運用ができるオペレーション、対応できる人材がいないと、検出漏れが発生したり、過度な運用負荷をセキュリティ部門に強いることにつながります。

また、SBOMツールの選定においては有償と無償ツールがありますが、特に無償ツールを選んだ場合、性能が限定的となる可能性がある点も事前に考慮する必要があります。

さらに、SBOMツールを用いてSBOMを作成する際にも、コンポーネントの誤検出や検出漏れ等が発生する可能性があるため、SBOMツールで出力された内容に対するレビューも必要となります。

進化するソフトウェア開発には適切な管理を

ソフトウェア開発が進化し、サイバー攻撃が高度化する現代において、SBOMはソフトウェアサプライチェーンにおける透明性とセキュリティを確保するために重要な役割を果たすことが分かりました。SBOMの導入に向けて取り組むことは、組織全体のセキュリティ体制を強化し、事業の持続性と信頼性を保証するための重要な一歩となります。その重要性はますます増していくことは間違いありません。

ソフトバンクは、幅広いソリューションでお客さまのセキュリティ課題を支援いたします。ぜひこの機会にご検討ください。

関連セミナー・イベント