「うちの製品、SBOMは出せますか」――取引先からそう聞かれて答えに詰まった経験はないだろうか。SBOM（Software Bill of Materials、ソフトウェア部品表）は、これまでセキュリティ担当者だけが知っていればよい専門用語だった。だが経済産業省が2024年8月に「SBOM導入の手引ver2.0」を公表し、医療機器業界では薬機法の基本要件基準に組み込まれ、EUでもサイバーレジリエンス法（CRA）の運用が段階的に始まる中、SBOMは開発現場の一部の話題から、調達・契約・経営リスクに直結するテーマへと変わりつつある。皆さんの組織では、SBOMを「言葉は知っているが自社には関係ない」と捉えていないだろうか。今回は、SBOMをめぐる制度動向と、ITストラテジストやIT部門の意思決定者が今から準備しておくべきことを整理したい。
SBOMとは何か、なぜ今あらためて問われているのか
SBOMとは、ソフトウェア製品に含まれるオープンソースソフトウェア（OSS）や商用コンポーネントの構成を一覧化した「部品表」である。自動車や家電の製造業では原材料や部品の調達管理が当たり前に行われてきたが、ソフトウェアの世界では長らく「どのOSSのどのバージョンが、どこに、どれだけ使われているか」を正確に把握できていない企業が大半だった。Log4jの脆弱性騒動（2021年）に代表されるように、自社が直接書いたコードでなくても、依存関係の奥深くに潜む脆弱性が事業継続を脅かす時代になっている。
経済産業省は2023年7月に「SBOM導入の手引」初版を公表し、2024年8月には脆弱性管理プロセスや業界別の対応モデル、委託先との契約に盛り込むべき事項を具体化したver2.0へと改訂した。単にSBOMを作成すること自体が目的なのではなく、脆弱性情報が公開された際に「自社のどの製品が影響を受けるか」を数時間から数日で特定できる体制を作ることが本来の狙いだ。ここに、開発現場の技術論だけでなく、調達契約や委託先管理といった経営・調達の視点が不可欠になる理由がある。
先行する業界と、国際的に迫る義務化の波
SBOM対応は業界によって温度差がある。医療機器業界では、IMDRF（国際医療機器規制当局フォーラム）のガイダンスが薬機法の基本要件基準に取り込まれ、外部コンポーネントを含むSBOM整備と脆弱性管理プロセスの確立が事実上必須となっている。自動車業界でも、業界団体を中心にサプライチェーン全体を見据えたガイドラインの標準化が進む。金融や重要インフラ分野でも、取引先からSBOM提出を求められるケースが徐々に増えている。
国際的には、EUのサイバーレジリエンス法（CRA）が大きな節目を作りつつある。2024年12月に施行されたCRAは段階適用の設計になっており、2026年9月からは悪用が確認された脆弱性や重大なセキュリティインシデントの報告義務が始まり、2027年12月には文書化やライフサイクル全体でのセキュリティ管理、SBOMの生成・保持を含む本格適用が控えている。EU市場でデジタル要素を含む製品を扱う企業であれば、日本国内向けの製品であっても無関係ではいられない。経済産業省も2025年9月に、SBOMの共有ビジョンに関する国際的なガイダンスへの共同署名を発表しており、国内外の足並みを揃える動きは今後さらに加速するとみてよいだろう。皆さんの会社の主要な取引先や海外展開の状況を思い浮かべたとき、この波はどれくらい先の話だろうか。
IT部門・ITストラテジストが今から準備しておきたいこと
SBOM対応を「セキュリティ部門の宿題」で終わらせないためには、いくつかの視点が要る。まず、自社製品・自社システムがどの業界の取引先とつながっているか、どの調達契約にSBOM提出条項が今後入り得るかを棚卸しすることだ。次に、委託開発やOSS活用が多い場合は、開発ベンダーとの契約にSBOM提供や脆弱性情報の連携方法をあらかじめ盛り込んでおく必要がある。後から契約を結び直すのは、現場が思う以上に手間とコストがかかる。
さらに、SBOMは作って終わりではなく、継続的に更新し、脆弱性データベースと突き合わせて実際に活用できる体制があって初めて意味を持つ。ツール選定だけに目が行きがちだが、誰がSBOMを維持し、脆弱性が見つかったときに誰が経営判断を下すのかという運用プロセスの設計こそが、ITストラテジストの腕の見せどころだ。全社一斉に始めるのではなく、対外的な影響が大きい主力製品や、規制業種向けのシステムから優先度をつけて着手するのが現実的だろう。
まとめ
SBOMは、もはや一部の規制業種だけの話ではなく、ソフトウェアサプライチェーン全体の信頼性を担保するための共通言語になりつつある。経済産業省の手引きやEUのCRAは、その具体的な期限とルールを示し始めた段階に過ぎない。IT部門の意思決定者にとって大切なのは、SBOMをツール導入の一施策としてではなく、調達契約・ベンダー管理・脆弱性対応プロセスを貫く経営課題として位置づけることだ。皆さんの組織では、この「見えないサプライチェーン」にどこまで向き合えているだろうか。
