- SBOMSoftware Bill of Materials
- ソフトウェアに含まれる部品（ライブラリなど）の名前・バージョン・提供元を並べた一覧。脆弱性が出たとき、使っているかを調べやすくする。
このページの内容
意味
SBOM は、ソフトウェアを作っている部品の一覧です。脆弱性が部品に見つかったとき、その部品を使っている製品をすばやく探せるようになります。経済産業省は「ソフトウェア管理に向けたSBOMの導入に関する手引」を公表し、作り方と使い方を案内しています。
| 項目 | 例 |
|---|---|
| 部品の名前 | {{ライブラリ名}} |
| バージョン | 2.17.1 |
| 提供元 | {{開発元}} |
| ライセンス | Apache-2.0 など |
事件のときの見方
- OSS の部品に脆弱性が出た事件では、委託先に「SBOM で使用の有無を確かめたか」を聞くと、確認の根拠が分かりやすい
- SBOM が無い場合でも、部品の一覧を手作業で確かめたかを聞けばよい
{{部品名}}の脆弱性（CVE-{{年}}-{{番号}}）について、御社のサービスの部品の一覧（SBOM など）で使用の有無を確かめた結果と、確かめた日をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。