米国とEUのSBOMに関する動きについて - サイエンスパーク株式会社

近年、サイバーセキュリティの重要性がますます高まる中、ソフトウェアの透明性とセキュリティを確保するための手段として「ソフトウェア部品表（SBOM：Software Bill of Materials）」が注目されています。SBOMは、ソフトウェア製品に含まれる全てのコンポーネントや依存関係を一覧化した文書であり、ソフトウェアの構成要素を明確にすることで、脆弱性の特定や管理を容易にします。

　SBOMの重要性が、特に大規模なサイバー攻撃やソフトウェアサプライチェーンにおけるリスクが顕在化する中で、企業や政府機関の関心を集めています。例えば、2020年のSolarWinds事件では、サプライチェーン攻撃によって多くの企業や政府機関が影響を受け、ソフトウェアの信頼性と透明性が改めて問われることになりました。

　本記事では、米国とEUにおけるSBOMに関する最新の動きを紹介し、それぞれの地域がどのようにしてSBOMの導入と普及に取り組んでいるのかを詳しく解説します。SBOMは今後のサイバーセキュリティの基盤となる可能性があり、その国際的な動向を理解することは非常に重要です。

1. 米国におけるSBOMに関する動き

●政府の取り組み

　米国政府は、サイバーセキュリティの強化を目的としてSBOMの導入を積極的に推進しています。その中心にあるのが、2021年5月にバイデン大統領が署名した行政命令14028号「国家のサイバーセキュリティ向上に関する大統領令」（https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/）です。この命令では、ソフトウェアサプライチェーンの安全性を確保するための具体的な措置として、SBOMの利用が強調されています。

　この行政命令に基づき、国土安全保障省（DHS）の下部組織であるCISA（Cybersecurity and Infrastructure Security Agency）は、SBOMの標準化と普及を進めるためのガイドラインを作成しました。これには、SBOMの形式や内容、使用方法についての具体的な指針が含まれており、政府機関や民間企業がSBOMを効果的に活用できるようにサポートしています。

●企業の取り組み

　米国の多くの企業も、SBOMの導入に積極的です。特に、ソフトウェアやIT関連の企業は、自社製品やサービスのセキュリティを強化し、顧客に対して高い信頼性を提供するために、SBOMを活用する動きを見せています。これにより、企業は自社のソフトウェアに含まれるすべてのコンポーネントを把握し、脆弱性の早期発見と迅速な対策を可能にしています。

　さらに、業界団体やオープンソースコミュニティもSBOMの普及に向けた活動を展開しています。これらの団体は、SBOMの標準化やベストプラクティスの共有を通じて、企業間の協力を促進しています。複数の企業が連携してSBOMを導入し、サプライチェーン全体でのセキュリティ向上を目指す取り組みが進んでいます。

　また、一部の企業は、SBOMを利用して自社のサプライチェーンを監視し、ソフトウェアの安全性を継続的に評価しています。これにより、顧客に対して透明性を提供し、信頼関係の構築に寄与しています。

　米国におけるSBOMの取り組みは、政府と民間の協力を通じて進められており、その成果は徐々に現れ始めています。今後、SBOMの導入がさらに進むことで、サイバーセキュリティの向上とソフトウェアサプライチェーンの透明性が一層強化されることが期待されています。

2. EUにおけるSBOMに関する動き

●EUの政策と法規制

　EUにおいても、サイバーセキュリティの強化とソフトウェアサプライチェーンの透明性向上のためにSBOMの導入が注目されています。EUは、デジタル化とサイバーセキュリティの向上を目的とした政策を進めており、その中でSBOMの役割が強調されています。

　特に、2022年に発効したNIS 2指令（Network and Information Systems Directive 2）（https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32022L2555&from=EN）は、EU全体でサイバーセキュリティ基準を統一し、重要インフラのセキュリティを強化することを目的としています。この指令では、ソフトウェアサプライチェーンのリスク管理が求められており、SBOMの利用が推奨されています。

　さらに、欧州委員会は、サイバーセキュリティに関する様々な取り組みを通じてSBOMの普及を促進しています。例えば、欧州委員会のサイバーセキュリティ戦略には、SBOMを含むサプライチェーンセキュリティの強化策が盛り込まれています。

●各国の実施例

　EU加盟国の中でも、特にドイツやオランダなどの主要国は、SBOMの導入に積極的です。

ドイツでは、政府がサイバーセキュリティ戦略の一環としてSBOMの利用を推奨しています。ドイツ連邦情報セキュリティ庁（BSI）は、SBOMの標準化と利用方法に関するガイドラインを提供し、企業がSBOMを効果的に活用できるようサポートしています。

オランダでも、政府はSBOMの重要性を認識しており、国家サイバーセキュリティセンター（NCSC）がSBOMに関する情報を提供しています。オランダは、サイバーセキュリティの強化を目指し、SBOMの普及に向けた取り組みを進めています。これには、SBOMを利用したサプライチェーンのリスク評価や、企業がSBOMを効果的に活用するためのリソース提供が含まれています。

EUにおけるSBOMに関する動きは、政策を通じて進められており、その成果は徐々に現れ始めています。今後も、SBOMの導入が進むことで、サイバーセキュリティの向上とソフトウェアの信頼性向上が一層強化されるでしょう。

3. SBOMの標準化と国際協力

●標準化団体の動き

・NTIA（米国国家電気通信情報管理局）

　NTIAは、米国におけるSBOMの標準化を推進する主要な機関の一つです。ソフトウェアサプライチェーンのセキュリティ向上を目指し、業界団体や関係者と協力してSBOMの標準化に取り組んでいます。

・ISO（国際標準化機構）

　ISOは、国際的な標準化に関する主要な組織の一つであり、SBOMの標準化にも関与しています。ISO/IEC JTC 1/SC 27（サイバーセキュリティ）やその他の関連委員会を通じて、SBOMの国際標準化に向けた活動が行われています。

●米国とEUの協力体制

　米国とEUは、サイバーセキュリティの強化やソフトウェアサプライチェーンのセキュリティ向上に関する共通の課題に取り組んでおり、両地域間での協力が進んでいます。例えば、サイバーセキュリティに関する政策対話や専門家の交流を通じて、情報共有やベストプラクティスの共有が行われています。これにより、SBOMの普及やサプライチェーンセキュリティの強化に向けた取り組みが促進されています。

4. まとめ

　SBOM（ソフトウェア部品表）は、ソフトウェアの透明性とセキュリティを確保するための重要なツールとして、米国とEUの両地域で注目されています。米国では、2021年にバイデン大統領が署名した行政命令14028号を基に、政府と民間企業が協力してSBOMの標準化と普及を進めています。特に、CISA（国土安全保障省サイバーセキュリティ・インフラストラクチャ安全局）がガイドラインを提供し、ソフトウェアサプライチェーンのセキュリティ強化に寄与しています。

　EUでも、サイバーセキュリティの強化とソフトウェアサプライチェーンの透明性向上を目的に、NIS 2指令などの政策や法規制が整備され、SBOMの導入が推奨されています。ドイツやオランダなどの主要国は、政府の指導の下でSBOMの利用を推進し、サプライチェーン全体の透明性と信頼性を高める取り組みを行っています。

　さらに、SBOMの標準化と国際協力においては、NTIA（米国国家電気通信情報管理局）やISO（国際標準化機構）といった標準化団体が重要な役割を果たしています。米国とEUは、サイバーセキュリティに関する政策対話や情報共有を通じて協力し、SBOMの普及とソフトウェアサプライチェーンセキュリティの強化を目指しています。

　このように、米国とEUはそれぞれの地域でSBOMの導入と普及に積極的に取り組んでおり、国際的な協力体制も強化されています。SBOMは、今後のサイバーセキュリティ対策の基盤となり得るものであり、その動向を注視することが重要です。