IoT（Internet of Things）の世界では、ソフトウェアの透明性とセキュリティは非常に重要です。
しかし、多くの場合、IoTデバイスやシステムが使用するソフトウェアの構成要素やセキュリティの状況についての情報は不明瞭です。
目次
IoT機器をターゲットとしたマルウェア「Mirai」をご存じですか？
Miraiは、2016年に登場した家庭用ルータやWebカメラ等のIoT機器の脆弱性を突いて、感染を広げるマルウェアです。IoT機器の利用できないようにするものではなく、あるサーバーやサービスに対して、感染したIoT機器から大規模はDDOS攻撃をするためのマルウェアです。
2017年～2018年は、主に家庭用ルータをターゲットとしていましたが、2019年からはスマートテレビ、2021年末からは海外のデジタルビデオレコーダー(DVR)製品へと広げています。
2022年以降、国内においてもDVR製品におけるマルウェア感染が増加しているとの発表もされています。
そのため、IoT機器の開発において、利用するプラットフォームやソフトウェアがどこの物なのか、どのような脆弱性があるのかを把握することは非常な要素となります。
上記のような状況から、最近ではソフトウェアの構成要素やそのセキュリティの状況を把握するSBOM（Software Bill of Materials）が注目されています。
SBOMは、ソフトウェアの透明性とセキュリティ向上に向けた重要なツールであり、IoT開発者にとって多くのメリットをもたらします。
SBOMを使用することで、IoTデバイスやシステムに組み込まれているソフトウェアコンポーネントを明確に把握することができます。
例えば、海外製品の場合では、オープンソースのライブラリやフレームワーク、サードパーティ製のツールなど、様々なコンポーネントが使用されている可能性があります。
SBOMによって、これらのコンポーネントがどのように組み込まれているか、またそのライセンスや依存関係について明確に把握することができます。
また、利用されているコンポーネントがどの国で開発されたものなのかなどを調べる情報源としても活用できます。
SBOMは、ソフトウェアコンポーネントに関する重要な情報を提供するだけでなく、そのセキュリティの状況も明らかにします。
同じソフトウェアコンポーネントを複数の製品で活用していた場合、セキュリティ脆弱性が発見された際にSBOMを使用することで、影響を受ける可能性のあるすべてのデバイスやシステムを素早く特定し、対策を行うことができます。これにより、セキュリティリスクを最小限に抑えることができます。
IoTデバイスやシステムを開発する際には、ライセンスや規制に関する法的コンプライアンスも非常に重要です。SBOMを利用することで、使用しているソフトウェアコンポーネントのライセンス情報を迅速かつ正確に把握することができます。
これにより、知的財産権の侵害や法的なリスクを回避し、安心して製品を市場に投入することが可能となります。
IoTデバイスやシステムは、多くの場合、複数のサプライヤーから提供される様々なコンポーネントを組み合わせて構築されています。SBOMを使用することで、サプライチェーン全体の透明性が向上し、コンポーネントの供給源や品質に関する情報を容易に把握することができます。
これにより、信頼性の高いサプライヤーを選択し、製品の品質を確保することができます。