SBOM（Software Bill of Materials）
そのソフトウェアが、どの部品をどの版で使っているかを並べた一覧。部品表のソフトウェア版。
もう少し詳しい説明
SBOM（Software Bill of Materials。ソフトウェア部品表）は、そのソフトウェアがどの部品を使っているかを並べた一覧です。
名前は製造業の部品表（BOM。Bill of Materials）から来ています。製品がどの部品を何個使うかを並べた表の、ソフトウェア版にあたります。
なぜ要るのか
いまのソフトウェアは、自分で書いた部分のほうが少ないことがあります。公開されている部品（ライブラリ（よく使う処理をまとめた、取り込んで使える部品））を取り込み、その部品がさらに別の部品を取り込んでいます。
ここで、広く使われている部品に弱点が見つかったとします。
| 一覧の有無 | 何が起きるか |
|---|---|
| SBOMがある | 検索して、影響する製品と版がすぐ分かる |
| SBOMが無い | 製品ごとに調べ直す。調べ終わるまで、危ないかどうかも分からない |
攻撃を防ぐ仕組みではありません。 公表されたときに、どこを直せばよいかをすぐ言えるようにするための備えです。
何が書いてあるか
| 項目 | 例 |
|---|---|
| 部品の名前 | その部品の名称 |
| 版 | 3.2.1 のような番号 |
| 作成者・提供元 | どこが出しているか |
| 依存の関係 | その部品が、さらに何を使っているか |
| ライセンス | 使うときの条件 |
版まで書くところが要点です。弱点は「この版からこの版まで」という形で公表されるため、名前だけでは影響の有無が判断できません。
サプライチェーン攻撃とのつながり
サプライチェーン攻撃の入口の1つが、ソフトウェアの部品です。広く使われている部品に細工が仕込まれると、取り込んだ先すべてに広がります。
SBOMがあると、細工が公表された時点で、取り込んでいるかどうかを即答できます。取引先から「この部品を使っていますか」と問われたときに答えられる、という場面でも使われます。
ライセンスの確認にも使う
セキュリティ以外の用途もあります。取り込んだ部品のライセンス（使うときの条件）を並べておくと、条件に合わない使い方をしていないかを確かめられます。
試験ではこう出る
応用情報の科目A（旧・午前）で、用語の意味として出ます。「ソフトウェアの部品の一覧」と答えられれば足ります。
科目B・午後では、部品の弱点が公表された事例で、対応の手順の中に出てきます。まず影響範囲を特定する、という流れです。
防ぐための仕組みではないという点に注意してください。一覧を持っていても、弱点そのものは無くなりません。
関連する用語
- サプライチェーン攻撃
- 部品経由の攻撃に気づくための土台になる
- MRP
- 部品表（BOM）から必要量を計算する仕組み。SBOMは名前の由来
- ソフトウェア保守（是正保守・予防保守・適応保守・完全化保守）
- 弱点が見つかった部品を差し替える作業につながる
- SLCP
- 開発から保守までの工程を共通の言葉で表す。SBOMを作る工程もこの中
ミニクイズ
SBOMを整備しておくことで、直接できるようになることとして、適切なものはどれか。
正解は 2番：ある部品に脆弱性が公表されたとき、自社のどの製品が影響を受けるかを特定できる
SBOMは、そのソフトウェアがどの部品をどの版で使っているかを並べた一覧です。広く使われている部品に脆弱性が公表されたとき、この一覧があれば、自社のどの製品のどの版が影響を受けるかをすぐに突き止められます。一覧が無ければ、製品ごとにソースコードや設定を調べ直すことになります。処理速度の改善や著作権の登録を行う仕組みではなく、通信を遮断する仕組みでもありません。
この分野をまとめて解く → セキュリティのミニテスト（全47問）
最終更新：2026-11-09