SBOMの最小要素が5年ぶり改訂 何が必須になるのか：セキュリティニュースアラート

CISAは、SBOMの最小要素の改訂版を公開した。2021年に定められた要件を置き換える内容だ。ソフトウェアを調達し運用する企業は、これから取引先に何を求めることになるのか。

[ITmedia]

　米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月29日（現地時間）、ソフトウェア部品表（SBOM）が最低限備えるべき項目をまとめた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公開した。米国家安全保障局（NSA）や米連邦捜査局（FBI）に加え、日本の経済産業省と国家サイバー統括室（NCO）を含む計18の機関が共同で策定した。

　SBOMは、ソフトウェアを構成するコンポーネントと依存関係を機械処理できる形式で記録した一覧だ。今回の文書は、米国電気通信情報局（NTIA）が2021年に公開した最小要素を置き換える。適用範囲はオープンソースソフトウェアやAIソフトウェア、SaaSを含む全てのソフトウェアで、SBOMを求める側と提供する側の双方が満たすべき水準を示す。

　一方で、2021年版に沿って作成していたSBOMは、今回の要件を満たさない可能性がある。CISAはドラフトへのパブリックコメントとして寄せられた90件を超える意見を反映したとしており、見直しはデータ項目と運用の両面に及ぶ。

SBOMの要件はどう変わったか

　今回の改訂では、SBOM作成者の電子署名やコンポーネントのハッシュ値、ライセンス情報など10項目が最小要素に新たに加わった。

　新設された10項目は次の通り。

1. SBOM作成者の署名：SBOM作成者に帰属する電子署名を指す。受領側は、署名後にデータが改変されていないかどうかを確認できる
2. SBOMデータ形式名：SBOMを表現するデータ形式の名称を記録する
3. SBOMデータ形式のバージョン：そのデータ形式のバージョンを示す識別子。非推奨とされたバージョンは使わない
4. SBOM生成コンテキスト：SBOMを生成した時点のソフトウェアライフサイクル上の段階を示す。「ビルド前」「ビルド」「ビルド後」といった表現
5. SBOM作成ツール名：SBOMの生成や修正に使ったツールの名称を記録する
6. SBOM作成ツールのバージョン：そのツールのバージョンを示す識別子
7. SBOMバージョン：過去のSBOMからの変更や、初回であることを示す識別子を指す
8. コンポーネントのハッシュ値：実行可能な成果物に暗号学的ハッシュ関数を適用した結果を記録する
9. コンポーネントのハッシュアルゴリズム：ハッシュ値の算出に使ったアルゴリズムを示す
10. コンポーネントのライセンス：コンポーネントが提供されるライセンスの識別子を記録する。独占的なライセンス条件の有無も含める

　既存の要素にも見直しが入った。主な変更は次の通り。

• 供給者名からコンポーネント製造者へ：「供給者名」はソフトウェアを作成した主体を指す「コンポーネント製造者」に改め、製造者が特定できない場合は出所が不明であることを明示するよう求める
• 深さからカバレッジへ：2021年版は最上位の依存関係だけを対象としていた。改訂版は推移的依存関係を含む全てのコンポーネントを対象とし、深さの下限は設けない。推移的依存関係とは、直接使うコンポーネントがさらに依存している間接的なコンポーネントを指す
• 既知の未知から不明情報の明示へ：作成者にとって不明な情報と、意図的に伏せた情報を区別して示すよう求める。必要なコンポーネント情報が伏せられている場合、受領側はそのSBOMを情報が欠けたものと見なしてよいとしている
• 自動化支援から機械処理可能なデータへ：データ形式の一覧からSWIDタグを外した。広く使われている形式としてSPDXとCycloneDXを挙げている
• アクセス制御の削除：アクセス制御は独立した要素ではなくなり、配布と受け渡しの要素に統合された

　CISAは、ソフトウェアを製造する組織、調達する組織、運用する組織に3つの行動を挙げている。改訂後の最小要素を満たすSBOMを要求すること、SBOMの生成や取り込み、分析に使えるツールを利用すること、そして改訂後の最小要素を満たすSBOMを自ら生成することだ。

　CISAは、用途の広がりや技術の変化に応じて最小要素の見直しを続けるとしている。