CISAがSBOM基準を更新、実効性には課題
secure-clip_編集担当
ライター
この記事のポイント
- CISAが数十項目のSBOM基準を更新し、より詳細で包括的な情報開示を要求
- 基準が充実する一方、実際のセキュリティリスク低減効果は不十分との懸念も存在
- 経営者は新基準への対応を検討し、サプライチェーン管理体制の強化を進めるべき
米国の重要インフラ保護局（CISA）が、ソフトウェア部品表（SBOM）の新しい基準を公表しました。SBOMとは、ソフトウェアに含まれるすべての部品や依存関係を記録したもので、セキュリティリスク評価に不可欠です。今回の更新では、20以上の項目が追加・改善され、より正確な情報把握が可能になります。一方、情報が詳しくなったとしても、実際のリスク低減につながるかは別問題という指摘も出ています。経営者は、サプライチェーン全体のセキュリティ強化として、ベンダー選定時のSBOM確認を新たな基準に沿って実施する必要があります。
よくある質問
- SBOMとは何ですか？
- ソフトウェアに含まれるすべての部品やライブラリの一覧です。脆弱性発生時に影響範囲を素早く特定でき、サプライチェーン全体のセキュリティ管理に役立ちます。
- 新基準への対応は必須ですか？
- 米国の重要インフラ関連企業や政府調達企業は対応が実質的に必須です。日本企業でも取引先からの要求が増える可能性があります。
- 経営者として何をすべきですか？
- ソフトウェアベンダーにSBOM提出を要求する体制を整備し、IT部門と協力してサプライチェーン管理を強化することをお勧めします。
情報源：darkreading
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
