米国では既に標準化の流れ、日本企業も対応を迫られる「SBOM」とは

DX（デジタルトランスフォーメーション）やIoT（Internet of Things）の進展により、ますますその存在感が増しているオープンソースソフトウェア（OSS）。ソフトウェアの高機能化、大規模化によるサプライチェーンの複雑化を背景に、SBOM（Software Bill of Materials）によるOSSサプライチェーンマネジメントに注目が集まっています。米国では既に必須化・標準化の動きが始まっており、日本企業も対応を迫られるようになってきました。本記事では、あらためてSBOMとは何か、そして日本におけるSBOM活用の普及促進にはどういった課題があるかについて、詳しく解説します。 SBOMとはいったい、どのようなものなのか Software Bill of Materials（SBOM、「エスボム」と読みます））とは、ソフトウェアを構成するOSSや商用ソフトウェアなどのライブラ

[grasso0210]

自動化しないと、大変そう…

[defiant]

この記事をおすすめしました:

[toaruR]

面倒臭い＼(^o^)／きっと三ヶ月おきに出せとかなるんだろうな

[ka-ka_xyz]

とりあえず、package-lock.jsonなりpom.xmlなりGemfile.lockなりの依存情報を共通フォーマットで出力する的な？MSはNuGet向けに https://github.com/microsoft/sbom-tool とか出してるのか。規格は色々あるっぽい

[fog-og-frog2]

バイデン大統領が今年の2月にサプライチェーンの強化項目として医薬品などと合わせてICTを取り上げてる。 https://www.jetro.go.jp/biznews/2022/02/4b787e74559f4268.html GoogleのSLSAとか、熱いトレンドだよね。多重中抜き可視化は違くね？

[soachr]

既にライブラリ依存管理アプリ(PHPだとcomposerとか)で一覧化できるものの、それをサービス提供者が顧客に提示するためにSBOMという規格？に沿った形で明示する必要性がでてくるって感じかな？

[deep_one]

ソフトウェアに使った外部パーツのリストね。確かに脆弱性の情報と突き合わせるのには必要だわ。