SBOMとは？EU CRA・米国大統領令が示す「ソフトウェア部品表」と企業の実務対応｜ハチマルヤ合同会社（808）

SBOM（ソフトウェア部品表）とは、製品に含まれるソフトウェアコンポーネントを可視化する仕組みです。EU CRAの2027年全面適用・米国大統領令・日本の経産省ガイドラインの動向と、企業が取るべき実務対応をハチマルヤ合同会社（808）が解説します。（122字）

---

「SBOM（ソフトウェア部品表）の提出を取引先から求められた」「EU CRAに対応しなければならないが何から始めれいいかわからない」
2025〜2026年にかけて、製造業・ITベンダー・組込みシステム開発者の間でこうした声が急増しています。

SBOMは、ソフトウェア製品の「部品表」です。食品の原材料表示や自動車の部品リストと同様に、「この製品にはどのようなソフトウェアコンポーネントが使われているか」を可視化するものです。

規制の義務化が世界規模で進んでおり、対応の遅れが取引機会の損失や法的リスクにつながりかねません。この記事では、SBOMの基本概念・世界の規制動向・主要ツールの比較・実務対応の進め方を、ハチマルヤ合同会社（808）が解説します。

---

SBOMとは何か

SBOM（Software Bill of Materials / ソフトウェア部品表）とは、ソフトウェア製品に含まれるすべてのコンポーネント・ライブラリ・依存関係を記録したリストです。

現代のソフトウェアは、「ゼロから全コードを書く」のではなく、無数のオープンソースライブラリや商用コンポーネントを組み合わせて構成されています。たとえば一般的なWebアプリケーションには数百〜数千のオープンソースライブラリが含まれており、その中に脆弱性が存在していても、把握していなければ対応することができません。

SBOMはこの問題を解決するための「透明性の仕組み」です。

SBOMが記録する主な情報

• コンポーネント名・バージョン・供給者（ベンダー）
• 依存関係（どのコンポーネントが何に依存しているか）
• ライセンス情報
• 既知の脆弱性との照合（CVE情報との紐付け）

---

なぜ今、SBOMが重要なのか

Log4Shell事件（2021年）が転換点に

2021年12月に発覚した「Log4Shell」脆弱性は、JavaのログライブラリLog4jに存在した致命的な脆弱性です。世界中の無数のシステムがLog4jを利用していましたが、多くの企業は「自社製品にLog4jが含まれているかどうか」すら把握できていませんでした。

SBOMがあれば、「どの製品がLog4jを使っているか」を即座に検索・特定できます。この事件がSBOM義務化に向けた議論を世界的に加速させました。

サプライチェーン攻撃の増加

SolarWinds事件（2020年）に代表されるように、サプライチェーン経由のサイバー攻撃が急増しています。「取引先が提供したソフトウェアに悪意あるコードが仕込まれていた」というリスクへの対応として、SBOMによるコンポーネントの可視化が重要です。

---

世界の規制動向：3つの主要な法規制

1. EU CRA（サイバーレジリエンス法）——2027年12月全面適用

EU Cyber Resilience Act（CRA）は、EU市場に投入するデジタル製品にセキュリティ要件への対応を義務づける法律です。[※1]

主要な要件

• デジタル製品（ハードウェア・ソフトウェア）をEU市場に販売する際、SBOMの提供が義務
• 脆弱性の開示・パッチ提供義務
• 製品ライフサイクルを通じたセキュリティサポートの義務

スケジュール

• 2024年12月：CRA発効（EU公式ジャーナル掲載）
• 2026年9月：脆弱性報告・通知義務の適用開始
• 2027年12月：全面適用（すべての要件が対象）

日本企業がEU向けにIoT製品・組込みシステム・ソフトウェアを販売している場合、対応が必須です。

2. 米国大統領令14028（2021年）

バイデン政権が署名した大統領令（EO14028）「国家のサイバーセキュリティの改善」の中で、連邦政府調達においてSBOMの提供が義務化されました。[※2]

当初は連邦政府向けソフトウェアが対象でしたが、NIST（米国国立標準技術研究所）がSBOMの最小要素を定義したことで、民間への波及が急速に進んでいます。米国の連邦機関や防衛関連の調達に関わる企業は特に注意が必要です。

3. 日本の経産省ガイドライン

日本では経済産業省が「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」を公表しています。[※3]

現時点（2025年）では義務化には至っていませんが、ガイドラインでは以下を推奨しています。

• 組織内で利用・提供するソフトウェアのSBOM管理体制の構築
• SBOMフォーマットの標準化（SPDX・CycloneDXの採用）
• 既知の脆弱性（CVE）との継続的な照合・管理

EU・米国の義務化の流れを受け、日本でも段階的な義務化が進むとみられています。

---

SBOMの主要ツール比較

SBOMの生成・管理を支援する商用・オープンソースツールが多数存在します。代表的なものを比較します。

グローバル商用ツール

Black Duck（Synopsys）
SBOMの生成・オープンソースリスク管理・ライセンスコンプライアンス確認まで対応する総合プラットフォーム。大規模な組織向け。価格は高めだが、機能の網羅性は業界最高水準。

Sonatype Nexus Intelligence
特にJavaエコシステムに強いSCA（ソフトウェア構成分析）ツール。CI/CDパイプラインへの組み込みが容易で、開発プロセスに自然に統合できる。

Snyk
開発者フレンドリーなUIと多言語サポートが特徴。オープンソース脆弱性の検出に特化しており、スタートアップ〜中堅企業に導入事例が多い。

Mend.io（旧WhiteSource）
コンプライアンス管理とライセンスリスクの可視化に強み。企業規模を問わず導入実績がある。

日本市場向けツール

FutureVuls（株式会社フューチャー）
日本製の脆弱性管理プラットフォーム。SBOM生成機能と連携した脆弱性の優先度付けが特徴。日本語サポートが充実しており、国内ベンダーとの連携もスムーズ。

yamory（Visional）
国内実績が豊富なソフトウェアサプライチェーンセキュリティツール。オープンソース管理からSBOM生成・脆弱性管理まで日本語で一元管理できる。中小〜中堅企業への導入実績が多い。

ツール	対象	強み	価格帯
Black Duck	大規模	網羅性・ライセンス管理	高
Sonatype	Java中心	CI/CD連携	中〜高
Snyk	開発者向け	使いやすさ・多言語	中
Mend.io	幅広い規模	コンプライアンス管理	中
FutureVuls	日本企業	日本語・脆弱性優先度付け	中
yamory	中小〜中堅	日本語・一元管理	中

---

企業が今すぐ取り組むべき実務対応

ステップ1：自社の対象範囲を特定する

まず「SBOM対応が必要な製品・取引」を特定します。

• EU向け製品・サービスを提供しているか（CRA対応）
• 米国連邦政府・防衛関連の調達に関わっているか（EO14028対応）
• 取引先からSBOMの提出を要求されているか
• 自社製品にオープンソースコンポーネントを多数使用しているか

ステップ2：現状の可視化

自社のソフトウェア製品に含まれるコンポーネントを棚卸しします。開発環境やビルドシステムが整備されている場合は、SBOMツールによる自動生成が可能です。

ステップ3：フォーマットの選択

SBOMの主要フォーマットは2つです。

• SPDX（Software Package Data Exchange）：Linux Foundation が管理する標準フォーマット。ISO/IEC 5962として国際標準化済み。
• CycloneDX：OWASP が管理する軽量フォーマット。セキュリティユースケースに最適化されており、近年の採用が急増。

EU CRAではいずれも対応可能ですが、取引先の要件に応じて選択します。

ステップ4：継続的な管理体制の構築

SBOMは「一度作れば終わり」ではありません。コンポーネントのバージョンアップ・新たな脆弱性の発見・ライブラリの追加のたびに更新が必要です。CI/CDパイプラインにSBOM生成・更新を組み込み、継続的に管理する体制が必要です。

---

まとめ

• SBOMとは、ソフトウェア製品に含まれるコンポーネントを可視化した「部品表」。脆弱性管理・ライセンス管理・サプライチェーンリスク管理に不可欠。
• EU CRA（2027年12月全面適用）でEU向け製品へのSBOM提供が義務化。日本企業も対応必須。[※1]
• 米国EO14028（2021年）で連邦政府調達向けにSBOMが義務化。民間への波及も拡大中。[※2]
• 日本の経産省はSBOMの導入手引を公表。義務化は段階的に進む見通し。[※3]
• 主要ツールは目的・規模に応じて選択。日本企業にはFutureVuls・yamoryも有力な選択肢。
• 実務対応は「対象範囲特定→現状可視化→フォーマット選択→継続管理体制構築」の順で進める。

---

ハチマルヤ合同会社（808）では、SBOM導入支援からEU CRA・米国EO14028への対応コンサルティングまで、専門チームがサポートしています。「自社製品がどの規制の対象か」という確認段階からご相談を受け付けています。

---

参考資料・出典

※1 European Commission「Cyber Resilience Act（EU CRA）」（2024年）
https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act

※2 The White House「Executive Order on Improving the Nation’s Cybersecurity（EO14028）」（2021年）
https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

※3 経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0」（2024年）
https://www.meti.go.jp/policy/netsecurity/sbom.html