SBOM（ソフトウェア部品表）

ソフトウェアを構成する部品（コンポーネント）の名称やバージョン、それらの依存関係の情報を、機械で処理できる形で一覧にしたものです。

経済産業省の「SBOMの導入に関する手引」によると、SBOMには各コンポーネントの名称やバージョン、開発者などの情報が含まれ、OSSだけでなく商用のソフトウェアの情報も含められます。部品の脆弱性が見つかったときに影響の有無を素早く特定できるほか、ライセンス情報を確認して違反のリスクを下げる効果もあるとされています。2024年8月の改訂版（ver2.0）では、委託先との契約でSBOMについて定めるべき事項も追加されました。

新規事業でソフトウェアを外注する場合、納品物にSBOMを含めるよう求めておくと、後から脆弱性やOSSライセンスの確認がしやすくなります。取引先の大企業からセキュリティ要件として提出を求められることもあります。対策の全体像は MVP段階で押さえるセキュリティ対策 を参照してください。

参考資料

• 「SBOM」を活用してソフトウェアの脆弱性を管理する具体的手法についての改訂手引を策定しました（経済産業省）
• ソフトウェア管理に向けたSBOMの導入に関する手引 Ver.1.0（経済産業省）