脆弱性対応という名の「終わりのないモグラ叩き」。昨日までの安全が明日には破られる時代、どこに、どんなリスクが潜んでいるかすら見えない暗闇に立ち向かう中で、疲弊や不安を感じているエンジニアは少なくないだろう。

この状況を打破する存在として、世界が急速に導入を進めている「SBOM」をご存じだろうか。

一言で言えば、ソフトウエアの構成要素をリスト化した「部品表」。それがなぜ、今注目を集めているのか。SBOMによって開発現場やエンジニアの仕事はどう変わるのか。

Google Cloudの「Artificial Intelligence Competency」「Infrastructure Competency」の認定企業であり、インフラの最前線を走る株式会社grasysの吉田悠介さんに、その実態を聞いた。

年4.8万件見つかる脆弱性。全て「最優先」が困難な現実

近年、システムの巨大化・複雑化が進んでいる。動作環境の選択肢も増え、一つのシステムが複数のOSSコンポーネントで構成されることが一般的になった。その結果、ソフトウエアの脆弱性の発見数は増加傾向にある。吉田さんは、この状況に危機感を募らせている。

「一つの脆弱性がサプライチェーン全体に波及するリスクは無視することができず、重大なインシデントにつながりかねません。ですが、OSSの利用が当たり前になったことで、脆弱性が見つかっても『何が使われていて、どこに影響があるのか』をすぐに判断するのが難しくなりました。

さらに、AIの進歩もあり、ソフトウエアの脆弱性を突く攻撃がしやすくなっています。公開されたOSSのソースコードを解析して、どこにどのような脆弱性があり、どう攻撃できるかを調べる作業ですら、AIで効率的に進められるようになってきているんです。AIによって解析や調査の効率は攻撃側・防御側の双方で向上してきてるのを感じています。

OSS開発へのAI活用も広がっています。一方で、人手・AIを問わずサプライチェーン全体の信頼性を継続的に確認する重要性は高まっていると言えるでしょう。悪意ある変更が混入するリスクも含め、継続的な検証が必要だと考えています」

米国の非営利団体・MITREが管理する脆弱性リスト『CVE』によると、2025年に公開されたソフトウエア脆弱性は約4万8000件に上り、対前年で約20％増加。開発現場が直面する脆弱性管理の対象が急速に増加していることが伺える。

多くの脆弱性が公開されるが、環境や利用状況によって優先度は大きく異なるもの事実だ。

「限られたリソースの中で、全ての脆弱性を同じ優先度で即時対応することは現実的ではありません。だからこそ、優先的に対応すべき脆弱性が発覚した際にスピーディーに対応できること、そして『外部から直接到達できる場所に存在するか』『情報漏洩やサービス停止につながるリスクがあるか』『実際に通信経路や処理経路として使われているか』といった危険度に応じて優先順位を見極めることが、セキュリティ対策において重要なんです」

“どこに影響するか分からない” その把握を支えるSBOM

しかし、危険性の高い脆弱性に迅速に対処しようにも、前述したシステムの巨大化・複雑化という壁が行く手を阻む。その課題を解決する手段として期待されているのが「SBOM（Software Bill of Materials）」だ。

SBOMとは、いわばソフトウエアの「部品表」。ソフトウエアを構成するコンポーネントの名称やバージョン情報、依存関係などを一覧化したもので、よく食品の原材料表示に例えられる。特定の食材で問題が起きたときに成分表示を見て「商品に含まれているか」を確認するのと同じように、「どのシステムで何が使われているか」を把握することができる。

「システムごとに部品表があれば、複数システムを横断して影響範囲を確認することが可能です。

また、CVEやNVD*といった脆弱性データベースでは、ソフトウエアやライブラリのバージョンごとに脆弱性情報が登録されています。それらのデータとSBOMを照らし合わせることで、『システムのどこの部分で、どの脆弱性の影響を受けるか』を効率的に探すことができるようになる。その結果、脆弱性が公開されてから対処するまでのスピードが高まるので、リスクを大きく低減できるでしょう」

脆弱性が発見された場合、他のライブラリとの依存関係によって新たな不具合が生じる可能性も否定できず、影響範囲を一つ一つ調査する必要がある。一方で、SBOMがあればコンポーネント、バージョン、依存関係、脆弱性情報と照合し、影響範囲をすぐに絞り込める。その後、利用状況や実行経路、影響範囲などを確認することで、脆弱性への初動対応を大幅に迅速化できる点が大きなメリットだ。

サイバーセキュリティ強化の流れが世界的に加速している状況で、SBOMの導入は制度面からも後押しされている。

18年、米国商務省の電気通信情報局（NTIA）が開始したソフトウエア部品の透明性向上に向けた取り組みの中で議論・実証が進行。その後、21年にバイデン大統領が署名した「サイバーセキュリティ強化に関する大統領令（Executive Order 14028）」でSBOMの最低要件策定が指示されたことを契機に、世界的に普及が加速したとされている。さらに、EUのサイバーレジリエンス法（CRA）では、対象製品についてSBOMを含むソフトウエア構成管理が27年12月から法的要件となる。

「日本では経済産業省がSBOM導入に関する手引を策定するなど、企業への普及に向けた取り組みが進められています。オープンソースの世界でもSBOMを生成できるツールが増えてきているため、開発・検証プロセスの中で活用しようとする動きが広がっている印象です」

属人化を廃し、シニアの暗黙知をチーム全体の知見へ

実際、SBOMはどのように運用されているのか。

まず、システムリリースや更新のタイミングで、SBOM生成ツールを用いて作成。リリースごとにSBOMを作っておくことで、新たな脆弱性情報と突き合わせて影響範囲を確認できるようになる。

ここで重要になるのが、SBOMを「どの単位で作るか」という点だ。

「1台のサーバーに入っている全てのソフトウエアを一つのSBOMにまとめると、1ファイルに数千のコンポーネントが詰め込まれ、人間が見ても内容を把握しきれない規模になってしまいます。そのためgrasysでは運用の工夫としてアプリケーション・ランタイム・コンテナイメージやOS・各種運用ツールのコンポーネントといった追跡したい対象と運用目的ごとに分割して管理する形式を取っています。こうすることでエンジニアの担当範囲でセグメントを分けることができると考えています」

SBOM生成ツールは国内外で増えている。しかし、構成要素の網羅や重複の回避、正規性の担保といった判断は、まだ生成ツールではカバーしきれないのが現状だという。そのため、システム構成を深く理解しているエンジニアが、SBOMの作成・更新や結果の確認を担う必要がある。

「現段階では、単一のツールだけで全ての構成要素を漏れなく正確に把握することは難しく、誤検出や検出漏れが起こる可能性があります。そのため、複数の情報源を組み合わせて機械的に検証し、例外や判断が必要なケースをエンジニアが確認することが重要です。

それに、SBOMはあくまでも『部品表』にすぎません。脆弱性の影響がどの程度あるのか、どこから優先的に対処すべきなのか。そういった判断には、エンジニアの知識が必要不可欠。SBOMは、そうした判断を支えるための材料の一つです。

人が全件を確認するのではなく、機械的な処理で候補を絞り込み、判断が必要なケースにエンジニアが集中することが重要だと考えています」

SBOMが導入されている開発現場では、豊富な知見を有するシニアエンジニアの価値が高まるーー

一見するとそう捉えられるが、吉田さんはその見解を肯定すると同時にこう言った。

「複雑なシステムの構成をSBOMで可視化すれば、構成や依存関係を理解するための手掛かりになります。つまり、経験の浅いエンジニアであっても、効率的にシステムを理解する良い材料となります。

そうすれば、従来はシニアエンジニアが担っていたレイヤーの業務も、若手のうちから経験できるかもしれません。現場全体のスキルの底上げにもつながっていくでしょう」

SBOMの継続的な運用が未来の競争力を支える

grasysでは、支援・運用に関わる多数のシステムを対象に、SBOMを活用して脆弱性の影響を横断的に確認できる仕組みの構築中だ。

「現在は、設計資料や運用記録、ナレッジベースなど複数の場所に存在するシステムの依存関係を統合し、データベース上で機械的に検索・分析できるようにしたいと構想しています」

利便性は明らかなSBOMだが、現時点では日本国内で法的に義務化されているわけではない。その作成や活用は、事業者のセキュリティに対する意識や判断に委ねられている状況だ。

「grasysはGoogle Cloud パートナーの『Infrastructure Competency』の認定企業であるという責任のもと、セキュリティに対する意識を常に高く持つ必要があると考えています。

日々新たな脆弱性が発見され、大手企業でさえ重大なトラブルに見舞われる時代です。情報をいち早くキャッチアップし、最新技術も積極的に活用しながらセキュリティ対策を進めています。SBOMの導入も、その一環だというのが私たちの考えです。

SBOMは、導入するだけで十分な効果が得られるものではありません。継続的に更新し、脆弱性情報との照合や日々の運用判断に活用することで、その価値を発揮します。運用設計や監視、脆弱性管理のプロセスに組み込んで初めて、実効性のある仕組みになります。システムを安定稼働させ続ける責任を持つgrasysにとって、SBOMは重要な要素の一つです」

SBOMをはじめとするセキュリティへの投資は、短期的な売上だけでは効果を測りにくい。一方で、インシデントの回避や運用負荷の軽減、顧客からの信頼、継続的な取引を支える重要な基盤となる。

「近年のセキュリティ意識の高まりをみると、日本でもSBOMの活用がより強く求められるようになっていくでしょう。今後は堅牢性が求められる業界を中心に、SBOMを整備し、継続的に更新・活用しているかどうかが取引先選定で評価項目の一つになる可能性があります。

さらに、SBOMと脆弱性情報を紐づけて、AIによる優先度付けや調査と判断材料の提示といった支援が進む可能性があります。これまで人力で調査していた部分を任せられるようになれば、インフラエンジニアやSREはより本質的な仕事に集中できるようになるはずです」

＞＞grasysの採用情報はこちら

取材・文／福永太郎　撮影／桑原美樹　編集／秋元 祐香里（編集部）