Quick Look
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ソフトウェア部品表（SBOM）の最小要素を定めた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公開した。これは2021年版を置き換え、日米を含む18機関が共同策定し、電子署名やライセンス情報など10項目が追加された。
AI-generated summary
Why It Matters
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ソフトウェアの構成要素を記録するSBOMの最小要素を定めた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公開した。これは、2021年に公開された米電気通信情報局（NTIA）の最小要素を置き換えるものである。
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月29日（現地時間）、ソフトウェア部品表（SBOM）が最低限備えるべき項目をまとめた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公開した。米国家安全保障局（NSA）や米連邦捜査局（FBI）に加え、日本の経済産業省と国家サイバー統括室（NCO）を含む計18の機関が共同で策定した。
SBOMは、ソフトウェアを構成するコンポーネントと依存関係を機械処理できる形式で記録した一覧だ。今回の文書は、米国電気通信情報局（NTIA）が2021年に公開した最小要素を置き換える。適用範囲はオープンソースソフトウェアやAIソフトウェア、SaaSを含む全てのソフトウェアで、SBOMを求める側と提供する側の双方が満たすべき水準を示す。
一方で、2021年版に沿って作成していたSBOMは、今回の要件を満たさない可能性がある。CISAはドラフトへのパブリックコメントとして寄せられた90件を超える意見を反映したとしており、見直しはデータ項目と運用の両面に及ぶ。
SBOMの要件はどう変わったか
今回の改訂では、SBOM作成者の電子署名やコンポーネントのハッシュ値、ライセンス情報など10項目が最小要素に新たに加わった。
Open Questions
- 新設された10項目は具体的に何か？
- 既存のSBOMはどのように対応すべきか？
- 各機関はどのようにこの要件を適用するか？
