課荘芙曝

ソフトウェア何瞳燕��SBOM��は、ソフトウェアやアプリケ�`ションを��撹する仝コンポ�`ネント々の匯�E、つまり、仝何瞳の匯�E々です。�F壓、二�Iに SBOMの巷�_を箔める�R薦がかかっているのは、ソフトウェアに���}が�k伏した��栽に�lが��販を��うかという���}が伏じるからです。

皆京或珂を尖盾するためには奮瞳の箭が蛍かりやすいでしょう。箭えば、暴の返圷のチョコチップクッキ�`の圻可創の生には、弌拓頚、桧滅、バタ�`、チョコチップ、耐、バニラ、嶷蝦、�cなどが芝墮されています。さらにチョコレ�`トチップには、桧滅、チョコレ�`ト、ココアバタ�`、用妛皮、皮妛珪、寄狭レシチンが根まれていることが凄察慕きされています。

もし、チョコレ�`トチップに仝�A半されたココアバタ�`々が根まれていたとします。このココアバタ�`を根むすべての�u瞳のリコ�`ルを佩う駅勣があるとしたら、豊が夭販を減い、綱人が諒籾のあるクッキ�`を奮べないようにするにはどうすればよいでしょうか。クッキ�`の�u夛氏芙は、徭芙で�u夛するクッキ�`の撹蛍だけでなく、殆可氏芙から杭秘しているココアバタ�`の撹蛍を範紛することが嶷勣なはずです。

チョコチップクッキ�`の�u夛匍宀がクッキ�`の撹蛍に夭販を減うのと揖��に、ソフトウェアベンダ�`は、徭芙を隠擦しつつ恷嶮議に綱人が仝��いクッキ�`を奮べる々ことから隠擦するために、ソフトウェアアプリケ�`ション坪のコンポ�`ネントを岑る駅勣があります。セキュリティ貧の巌樋來やソフトウェアライセンスの諒籾が捻んでいる辛嬬來があるからです。

皆京或珂を旋喘してソフトウェアの更撹勣殆のリストを誼る

バイデン寄�y�Iは、2021定 5埖 12晩に仝 Improving the Nation¨s Cybersecurity�┨�社のサイバ�`セキュリティの�鯢錬�々に�vする寄�y�I綜��EO��14028 を�k綜しました。この枠極議な函り�Mみによって、SBOMはソフトウェア�{�_�T佩の恷念��での旋喘が兵まったと冱えます。寄�y�I綜によって、致忽ではソフトウェアを�B溢屓軒に���咾垢詁��Iには、駅勣な SBOMの恬撹と送宥が箔められており、酎�gにも襖式する辛嬬來があります。

SBOMは仝伏きている々ドキュメントであり、ソフトウェアベンダ�`は SBOMを恷仟の彜�Bに隠つ駅勣があります。輝��ソフトウェアの巌樋來が仟たに蒙協されると、械にソフトウェアベンダ�`は肝のように�い佑蕕譴泙后�

仝いつこの巌樋來を岑ったのか�� 々そして仝どのくらいの豚�gで俐屎したのか�拭�

これらは、掘援顎庄韓温恰の遺掘或が、パッチが癖喘されていないオ�`プンソ�`ス?コンポ�`ネントの巌樋來に児づく揖芙のデ�`タ盃墾がﾚく烏祇された朔に咏氏で基柩した縞の嵎諒そのものです。

皆京或珂の仁籾

謹くの仟しいプロセスと揖��に仁籾があります。まずひとつ朕は、ソフトウェアアプリケ�`ションの�篳�の方が謹いということ。いまひとつは、SBOMはコンポ�`ネントを�R�eし、ID�阿����糞弔蔽�兆隈を聞喘する駅勣があるということです。 コミュニティとエコシステムは、グロ�`バル?サプライチェ�`ンのリスクを�X�pするための���福▲廛蹈札后⊇毛�、およびツ�`ルに慌揖で函り�Mむ駅勣があります。

侑いなことに、サプライチェ�`ン畠悶でより��薦なソフトウェア?セキュリティ?プラクティスを�g廾するためのSBOM���覆肇挑`ルがいくつかあります。Software Package Data Exchange��SPDX��や遺霞界鉛看稼艶禽掛などの皆京或珂の炎�淵侫��`マットは、巷望がより酒�gに秤烏を住算できるようにすることで、サプライチェ�`ン畠悶でのソフトウェアの恬撹、塘下、��継に縞して佚�mと邑苧來の更廏を屶址します。

2021定、SPDXは ISO/IEC JTC1 5962:2021���覆箸覆蝓�SBOMの���淵侫��`マットの 1つになりました。SPDXは、弊順議な斌喘サプライチェ�`ンにおいてソフトウェアのセキュリティと屁栽來を�_隠するため、すでに嶷勣な叨護を惚たしています。Hitachi、Samsung、Microsoft、Intel、Cisco、Siemens、Googleなどの二�Iは、すでに採定にもわたってSPDXフォ�`マットでSBOMを恬撹し旋喘しています。

それでも、SBOM 偏��はまだ隆撹母です。���淵侫��`マットは二�I�gでSBOMの秤�鵑鬚笋蠅箸蠅鯣殯廚砲靴討�れますが、そのデ�`タをどのように旋喘して弖�Eするか卆隼として�n�}です。また、SBOMの頼畠來と屎�_來にも���Iする駅勣があります。箭えば仝チョコレ�`トチップ々のSBOMに仝カカオバタ�`々を根めることで、仝カカオバタ�`々が�A半されていることが登苧した�r泣で仝チョコチップクッキ�`々が仝�A半された圻可創々を聞っていることがわかるということです。