1. 導入：なぜ今、SBOMの「運用」が求められるのか
多くの企業がOSS（オープンソースソフトウェア）を活用する中、ソフトウェアサプライチェーンの複雑化に伴うセキュリティリスクが深刻化しています。経済産業省が公開した「ソフトウェア管理に向けたSBOMの導入に関する手引ver 2.0」は、単なる「SBOM（ソフトウェア部品表）の作成」から、「SBOMを用いた脆弱性管理の運用」へと焦点を移しています。なぜこれが重要かというと、膨大なコンポーネントから発見される脆弱性に対し、全てのパッチを即座に適用することは現実的に不可能だからです。本記事では、手引きの内容を紐解き、現場で破綻しないための現実的な脆弱性管理のステップを解説します。
2. 基礎知識：SBOMとVEXの役割
SBOMとは、ソフトウェアに含まれるコンポーネント、バージョン、ライセンス情報などを記録した「部品リスト」です。しかし、リストがあるだけでは脆弱性管理は始まりません。ここで重要なのが「VEX（Vulnerability Exploitability eXchange）」です。
VEXは、SBOMに含まれるコンポーネントに脆弱性がある場合、「実際に攻撃可能か（悪用できるか）」を供給者が提示する情報です。これにより、受け手は「パッチ適用が必須なもの」と「影響がないため対応不要なもの」を切り分け、優先順位を判断できるようになります。
3. 実装/解決策：現実的な脆弱性管理プロセス
手引きでは、現実的な運用として以下の4フェーズが推奨されています。
1. 脆弱性特定: ツールを軸にしつつ、API連携などで自社環境に適した自動化を検討します。
2. 優先付け: 「リスク＝悪用可能性×影響度×コスト」の観点で判断します。特に、CISAの「KEVC（悪用が確認された脆弱性カタログ）」や「EPSS（脆弱性悪用予測スコア）」の活用が有効です。
3. 情報共有: PSIRT（製品セキュリティ対応チーム）を核とし、供給者とSBOMやVEXの共有手順を事前に合意します。
4. 対応: 回避策（暫定対応）と根本修正を使い分けます。
最初から完璧を目指すと運用が破綻します。まずは「自社プロダクトの主要コンポーネントの管理」という小さな範囲から着手するのが成功の秘訣です。
4. サンプルプログラム：脆弱性優先付けのロジック（概念コード）
実務で数千件の脆弱性を扱う際、優先順位を判定するための簡易的なロジック例です。Pythonを用いて、KEVCリストと自社の脆弱性リストを突合するイメージです。
脆弱性リスト（ツールから抽出したデータと想定）
vulnerabilities = [
{“id”: “CVE-2023-0001”, “package”: “lib-x”, “cvss”: 9.8},
{“id”: “CVE-2023-9999”, “package”: “lib-y”, “cvss”: 7.5}
]
CISA KEVCに登録されている既知の悪用脆弱性（実際はAPIやCSVで取得）
kevc_list = [“CVE-2023-0001”]
def prioritize_vulnerabilities(vuln_list, kevc):
processed = []
for v in vuln_list:
# KEVCに含まれていれば優先度「高」、そうでなければCVSSスコアで判断
if v[“id”] in kevc:
v[“priority”] = “CRITICAL (悪用実績あり)”
elif v[“cvss”] >= 9.0:
v[“priority”] = “HIGH”
else:
v[“priority”] = “MEDIUM”
processed.append(v)
return processed
優先順位付けを実行
results = prioritize_vulnerabilities(vulnerabilities, kevc_list)
結果の出力
for item in results:
print(f”ID: {item[‘id’]}, 優先度: {item[‘priority’]}”)
5. 応用・注意点：現場で陥りやすい罠
現場で最も陥りやすいのは「ツールの出力結果を鵜呑みにすること」です。SBOMツールは誤検出（偽陽性）を出すことがあり、また、ツールが検知できない「手動追加ライブラリ」の漏れも発生します。
- 誤検出の確認: ツールから出た脆弱性情報が、自社の製品で実際に使用している関数やパスに該当するかを確認してください。
- 契約での規定: 手引きの第9章にある通り、納入先との契約で「SBOMの提供形式」「更新頻度」「VEXの提供有無」を具体的に定義しておくことが、後々のトラブルを防ぐ唯一の手段です。
まずは、自社内の小さなプロダクトからSBOM管理を開始し、ノウハウを蓄積してから全社展開を図るのが、最も現実的で安全なアプローチです。
コメント