米CISA、SBOMの最小要素を改訂 2026年版を公開

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月29日（現地時間）、ソフトウェア部品表（SBOM）が最低限備えるべき項目をまとめた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公開した。米国家安全保障局（NSA）や米連邦捜査局（FBI）に加え、日本の経済産業省と国家サイバー統括室（NCO）を含む計18の機関が共同で策定した。

SBOMは、ソフトウェアを構成するコンポーネントと依存関係を機械処理できる形式で記録した一覧だ。今回の文書は、米国電気通信情報局（NTIA）が2021年に公開した最小要素を置き換える。適用範囲はオープンソースソフトウェアやAIソフトウェア、SaaSを含む全てのソフトウェアで、SBOMを求める側と提供する側の双方が満たすべき水準を示す。

一方で、2021年版に沿って作成していたSBOMは、今回の要件を満たさない可能性がある。CISAはドラフトへのパブリックコメントとして寄せられた90件を超える意見を反映したとしており、見直しはデータ項目と運用の両面に及ぶ。

SBOMの要件はどう変わったか

今回の改訂では、SBOM作成者の電子署名やコンポーネントのハッシュ値、ライセンス情報など10項目が最小要素に新たに加わった。