CISA（米サイバーセキュリティ・インフラセキュリティ庁）は2026年7月29日（現地時間）、ソフトウェア部品表（SBOM）が満たすべき最小要件をまとめた「2026 Minimum Elements for a Software Bill of Materials (SBOM)」を公表した。2021年に米電気通信情報局（NTIA）が公開した最小要件を置き換える内容で、NSA（米国家安全保障局）やFBI（米連邦捜査局）、日本の経済産業省と内閣サイバーセキュリティセンターを含む計18の機関が共同で策定した。
CISAは、ドラフトに対して寄せられた90件を超える意見を反映したとしており、見直しはデータ項目と運用の両面に及ぶ。
SBOMとは
SBOMは、ソフトウェアを構成するコンポーネントと依存関係を機械処理できる形式で記録した一覧だ。今回の文書は、SBOMを求める側と提供する側の双方が満たすべき水準を示している。適用範囲は、オープンソースソフトウェアやAIソフトウェア、SaaSを含むすべてのソフトウェアだ。
一方で、2021年版に基づいて作成していたSBOMは、今回の要件を満たさない可能性がある。
新設された10項目
今回の改訂では、SBOM作成者の署名やデータ形式、コンポーネントのハッシュ値やライセンス情報など10項目が最小要件に新たに加わった。
- SBOM作成者の署名：SBOM作成者に帰属する電子署名を指す。受領側は、署名後にデータが改変されていないかどうかを確認できる
- SBOMデータ形式名：SBOMを表現するデータ形式の名称を記録する
- SBOMデータ形式のバージョン：そのデータ形式のバージョンを示す識別子。非推奨とされたバージョンは使わない
- SBOM生成コンテキスト：SBOMを生成した時点のソフトウェアライフサイクル上の段階を示す。「ビルド前」「ビルド」「ビルド後」といった表現で示す
- SBOM作成ツール名：SBOMの生成や修正に使ったツールの名称を記録する
- SBOM作成ツールのバージョン：そのツールのバージョンを示す識別子
- SBOMバージョン：過去のSBOMからの変更や、初回であることを示す識別子を指す
- コンポーネントのハッシュ値：実行可能な成果物に暗号学的ハッシュ関数を適用した結果を記録する
- コンポーネントのハッシュアルゴリズム：ハッシュ値の算出に使ったアルゴリズムを示す
- コンポーネントのライセンス：コンポーネントが提供されるライセンスの識別子を記録する。独占的なライセンス条件の有無も含める
既存要素にも見直し
既存の要素にも見直しが入った。主な変更は次の通りだ。
- 「供給者名」から「コンポーネント製造者」へ：「供給者名」は、ソフトウェアを作成した主体を指す「コンポーネント製造者」に改められた。製造者が特定できない場合は、出所が不明であることを明示するよう求める
- 「深さ」から「カバレッジ」へ：2021年版は最上位の依存関係だけを対象としていたが、改訂版は推移的依存関係を含むすべてのコンポーネントを対象とし、深さの下限は設けない。推移的依存関係とは、直接使うコンポーネントがさらに依存している間接的なコンポーネントを指す
- 「既知の未知」から「不明情報の明示」へ：作成者にとって不明な情報と、意図的に伏せた情報を区別して示すよう求める。必要なコンポーネント情報が伏せられている場合、受領側はそのSBOMを情報が欠けたものと見なしてよいとしている
- 「自動化支援」から「機械処理可能なデータ」へ：データ形式の一覧からSWIDタグを外した。広く使われている形式としてSPDXとCycloneDXを挙げている
- アクセス制御は独立要素から外れる：アクセス制御は独立した要素ではなくなり、配布と受け渡しの要素に統合された
求められる3つの行動
CISAは、ソフトウェアを製造する組織、調達する組織、運用する組織に3つの行動を挙げている。改訂後の最小要件を満たすSBOMを要求すること、SBOMの生成や取り込み、分析に使えるツールを利用すること、改訂後の最小要件を満たすSBOMを自ら生成することだ。
CISAは、用途の広がりや技術の変化に応じて、最小要件の見直しを続けるとしている。
