![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
Visual Studio CodeでSBOMファイルを閲覧する際に役立つ拡張機能「Editor for SBOM」の紹介です。
同ソリューションは、「環境構築・体制整備」「SBOM作成・共有」「SBOM管理・運用」の3段階のフェーズに基づき、企業の状況やニーズに応じた各種ツール、サービスの組み合わせを提案する。
CODE BLUE 2024で行われた「SBOMとセキュリティの透明性 - すべてを統合する方法」というセッションのレポートです。
米国の国家安全保障局 (NSA) がSBOM管理のための推奨事項を更新していますね。。。
本記事では、Windows OSをはじめとするOSを使用する開発者やIT管理者、経営層などに向けて、ソフトウェアのサプライチェーンリスクや既知の脆弱（ぜいじゃく）性といったリスクと、それを解決するためのSBOM（Software Bill of Materials）の活用について説明していきます。
国内市場でもSBOMの機運は高まっている。医療機器業界では、2024年4月からプログラムを用いた医療機器のSBOM対応が必須になる。
OpenSSFは、CISAやDHS S＆Tと共同で、オープンソースのサプライチェーンツール「Protobom」を発表した。SBOMデータを生成したり、異なるフォーマット間でSBOMデータを変換したりできる。
SBOM(Software Bill of Materials)を噛み砕きます。ざっくりと理解することを目的としています。
「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0」では、従来の手引書の内容に、ソフトウェアの脆弱性を管理する一連プロセスにおいて、SBOMを効果的に活用するための具体的な手順と考え方をまとめることで、SBOM活用による効果を高めるための参考情報（第7章「脆弱性管理プロセスの具体化」）が追加されている。
競合製品とは異なる「SBOM.JP」のユニークな点について、「経済産業省のSBOM導入の手引きの3つのフェーズのうち、フェーズ2をカバーする製品が多いが、SBOM.JPはフェーズ3に焦点を置いている」と説明した。
本稿では、経産省のSBOM導入に関する手引きver2.0で新たに加わった項目「脆弱性管理プロセスの具体化」や「SBOM対応モデル」、「SBOM取引モデル」などを改めて解説する。
しかし、SBOMを利用することで全体像を把握できるようになる。これは、米国商務省電気通信情報局（NTIA）のSBOMによるソフトウェアエコシステムを示したチャートをご覧いただくのがよいと思う。
最終回となる第3回は、SBOMの流通によってどんな「良いこと」と「悪いこと」が起こるかを整理しつつ、品質保証の枠組みへの取り込みについても考察する。
今回のOSSRAレポートでは、オープンソースを含むコードベースの割合が96％、全コードベースに占めるオープンソースの割合が76％となった
経済産業省はサイバー攻撃対策で企業向けに新しい指針をまとめる。ソフトウエアを構成するプログラムを一覧化した「SBOM（エスボム、ソフトウエア部品表）」の作成を促し、脆弱性が見つかっても早期対応できるようにする。
日本では、経済産業省が、このたび、SBOMの導入手引きを公開していますね。。。具体的につくられていて、かなり分かりやすくなっていると思います。参考文献のリストもちゃんとあって、分かりやすいです。。。
経済産業省は「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」を策定し公開したことを明らかにしました。
日立ソリューションズは12月12日、SBOM（Software Bill of Materials：ソフトウェア部品表）を一元管理し、各種リスクの検知と対応、ベストプラクティスの適用や情報分析・活用を行うプラットフォーム「SBOM管理サービス」を販売開始すると発表した。
今年の7月に経済産業省により「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」が策定、公開されました。既にお読みになった方も多いかもしれませんが、今日はこの手引について、改めて整理してみたいと思います。
本記事では、背景からSBOMを理解するためにSBOMの基礎的なことについてまとめています。
「SBOMはもはや選択肢ではない。今回の調査によると、2022年には78％の組織がSBOMを作成または利用する予定だ」
FDAは、同草案の「V．サイバーセキュリティリスクを管理するための SPDF（セキュア製品開発フレームワーク）利用」の「A．セキュリティリスクマネジメント」において、「2．サードパーティー製ソフトウェアコンポーネント」のサプライチェーンリスクマネジメント支援ツールとして、SBOMを取り上げている。
Jarvis 2.0は、ソースコードではなく、バイナリコードを用いてソフトウェア構成解析とセキュリティテストを行えるツールである。ブラックベリー社内での開発に用いられていたツールを外販したもので、組み込みシステム向けに特化していることが特徴となっている。
企業におけるSBOMの準備・採用の度合いと、オープンソースエコシステム全体のサイバーセキュリティの改善に向けたSBOMの重要性について述べているという。
マイクロソフトは、ビルド時にそのソフトウェアがどのようなソフトウェア部品から構成されているかを示すデータ「SBOM」を生成してくれるツール「SBOM Tool」を、オープンソースで公開しました。
サプライチェーン攻撃に関してはMicrosoft以外も取り組んでいて、そのうちのひとつであるGithubのブログを読んでみる。
ここでは、OSSのサプライチェーン管理に関する連載の3回目として、SBOMを解説する。
SBOM を正しく理解していただけるよう、本書ではシノプシスの顧客の間に見られる懸念や混乱についての情報を整理し、その内容をふまえて いくつかの重要な提言をまとめました。SBOM に対する今後の取り組みの軌道修正にご活用ください。
この記事は Google オープンソース セキュリティ チーム、Brandon Lum、Oliver Chang による Google Security Blog の記事 "SBOM in Action: finding vulnerabilities with a Software Bill of Materials" を元に翻訳・加筆したものです。
テーマはSBOM。最近ではカンファレンスのキーワードで扱われる機会が増えてきている。
本セミナーは、2021年5月に開催された回の再放送となります。
本稿では、＠ITが開催した「＠IT ソフトウェア品質向上セミナー」の基調講演「SBOMによるサプライチェーン攻撃対策 ～自社ソフトウェアのリスク、把握していますか？～」で語られた、OSSの使用に潜むリスクへの対処法について、要約してお届けする。
今回の記事では、SBOMを利用した脆弱性管理の取り組みについてご紹介します。
ここへ来て、2020年12月にSBOMの仕様が国際標準「ISO／IEC 5230」として固まり、普及への期待が高まっている。
Black Duckとの違いについて、「組み込みシステムに最適化している点がJarvis 2.0の大きな特徴だ」（同氏）と説明した
Build Security In BSIはセキュリティに関する知識を形式知化することを目的としている。 SBOM （Software bill of materials：ソフトウェア部品表） SBOMはコードベースに存在するすべてのオープンソースおよびサードパーティ・コンポーネントの一覧のことだ。
興味深い内容です。。。政府は重要なソフトウェアを取得する場合は、サプライヤから SBOM を要求すべきという方向に行きますかね。。。
ソフトウェア部品表（ソフトウェアBOM）を使用すると、オープンソースの使用に伴うセキュリティ、ライセンス、および運用上のリスクにすばやく対応できます。
