【ITニュース解説】日米欧豪など15カ国、SBOM活用に向け国際ガイダンスへ共同署名

現代のソフトウェア開発は、ゼロからすべてのプログラムを書くのではなく、オープンソースソフトウェア（OSS）や第三者が提供するライブラリといった、既存の「部品」を組み合わせて効率的に行われるのが一般的である。しかし、この開発手法は、使用している部品にセキュリティ上の欠陥、すなわち脆弱性が発見された場合、その部品を利用するすべてのソフトウェアが危険にさらされるというリスクを抱えている。この問題に対処するため、国際的な協力の下で「ソフトウェア部品表（SBOM）」の活用を推進する動きが加速している。日本や米国、欧州連合など15カ国は、このSBOMの利活用に関する国際的なガイダンスに共同で署名し、ソフトウェアの安全性を高めるための新たな一歩を踏み出した。

SBOMとは「Software Bill of Materials」の略称であり、直訳すると「ソフトウェア部品表」となる。これは、あるソフトウェアがどのような部品（コンポーネント）から構成されているかを一覧にしたリストのことである。ソフトウェアを構成する部品には、開発者が自ら作成したコードだけでなく、外部から取り込んだOSSのライブラリ、フレームワーク、モジュールなどが含まれる。SBOMには、これらの各部品について、名称、提供元、バージョン、ライセンス情報などが正確に記載される。これにより、ソフトウェアの内部構造が可視化され、どのような要素で成り立っているのかを正確に把握することが可能になる。これまで、多くのソフトウェアはその構成要素がブラックボックス化しており、開発者でさえも使用しているすべての部品を完全に把握できていないケースが少なくなかった。SBOMは、この透明性の欠如という課題を解決するための重要な手段である。

SBOMがなぜこれほどまでに重要視されるようになったのか。その背景には、ソフトウェアの供給網、すなわち「サプライチェーン」を狙ったサイバー攻撃の深刻化がある。サプライチェーン攻撃とは、ソフトウェアの部品を供給する開発元を攻撃し、その部品に悪意のあるコードを仕込むことで、その部品を利用する広範囲のユーザーに被害を及ぼす手口である。また、世界中の多くのシステムで利用されているOSSに深刻な脆弱性が発見された場合も、同様に甚大な影響が及ぶ。2021年末に発覚した「Log4j」というOSSライブラリの脆弱性問題は、その典型例である。このとき、多くの組織が自社のシステムでLog4jが使われているかどうかを特定するのに多大な時間と労力を費やした。もしSBOMが整備されていれば、どの製品やシステムに脆弱なバージョンのLog4jが含まれているかを即座に特定し、迅速な対応を取ることができたはずである。SBOMは、このように脆弱性が発見された際に、影響範囲を迅速かつ正確に特定し、修正パッチの適用や利用者への注意喚起といった対策を素早く講じることを可能にする。これにより、サイバー攻撃による被害を最小限に食い止めることができる。

今回、15カ国が共同で署名した国際ガイダンスは、このSBOMを世界標準として普及させるための大きな一歩となる。これまで、SBOMの考え方自体は存在していたものの、その作成方法やデータの形式、共有のルールなどが標準化されておらず、国や企業によってバラバラな運用がなされる可能性があった。異なる形式のSBOMでは、企業間や国際間での情報共有が困難になり、その効果は限定的なものになってしまう。今回の国際ガイダンスは、SBOMの生成、共有、利用に関する共通の指針を示すことで、このような混乱を防ぎ、グローバルなソフトウェアサプライチェーン全体で円滑にSBOMを活用できる基盤を築くことを目的としている。これにより、ソフトウェアを開発する企業も、それを導入して利用する企業も、国境を越えて統一された基準でソフトウェアの構成情報をやり取りできるようになり、サプライチェーン全体のセキュリティレベルを底上げすることが期待される。

この動きは、これからシステムエンジニアを目指す人々にとっても極めて重要である。将来的には、ソフトウェアを開発する際にSBOMを作成し、提供することが契約上の要件となる、あるいは法律で義務付けられる可能性も考えられる。開発者は、単にプログラムを書いて機能を実装するだけでなく、自身が利用するライブラリやフレームワークのバージョン、ライセンス、そして脆弱性の有無を常に把握し、管理する責任を負うことになる。開発プロセスの初期段階からセキュリティを考慮する「シフトレフト」という考え方がより一層重要になり、SBOMの自動生成ツールや、SBOMを基に脆弱性をスキャンするツールの活用スキルも求められるようになるだろう。ソフトウェアの安全性をその構成要素から担保するという考え方は、今後のシステム開発における基本的な作法となる可能性が高い。

結論として、SBOMの国際的な標準化と普及は、巧妙化・大規模化するサイバー攻撃から社会を守るための不可欠な取り組みである。ソフトウェアの透明性を高め、脆弱性への対応を迅速化することで、より安全で信頼性の高いデジタル社会を実現することを目指している。システムエンジニアを目指す者にとって、SBOMに関する知識と、それを開発プロセスに組み込むスキルは、これからのキャリアにおいて必須のものとなるだろう。