SBOMとは｜ソフトウェア部品表と2級で問われる点

一言でいうと、SBOM は「このソフトウェアは、どの部品のどの版でできているか」を記録した部品表です。製造業で製品の部品を並べた部品表（BOM）を、ソフトウェアに当てはめた考え方です。米国の CISA は SBOM を、ソフトウェアの部品を構成する「材料の一覧」と説明しています。

今のアプリやサーバのソフトウェアは、多数のオープンソースのライブラリを組み合わせて作られ、そのライブラリがさらに別のライブラリに依存しています。開発した本人でも、どの部品がどの版で入っているかを把握しきれないことがあり、部品の一つに脆弱性が見つかると影響の範囲を調べるだけで時間がかかります。SBOM はこの問題を、部品の一覧を最初から作って持っておくことで解決します。

MCPC の公式テキストのページでは、『モバイルシステム技術テキスト 第11版』（2026年2月発刊、第42回から適用）の改版の要点として、SBOM の活用についての記述が加わったことが示されています（2026年9月27日確認）。

SBOM に記録する代表的な項目は、部品の名前、版、供給者、部品を一意に示す識別子、部品どうしの依存関係、SBOM を作った者と作成日時などです。米国の NTIA は2021年7月に SBOM の最小要素をまとめた報告を公表し、CISA はその見直しを進めています（2026年9月時点）。ライセンスの情報を含めれば、オープンソースのライセンスの管理にも使えます。

どちらの形式も機械で読めることが重要で、表計算ソフトに手で書いた一覧では、脆弱性の情報と自動で照らし合わせることができません。実際には、ビルドの工程でツールを使って自動で作るのが一般的です。

経済産業省の手引の ver2.0 は、ver1.0 に加えて、脆弱性の管理の一連の流れで SBOM を効果的に使う具体的な手順、導入が妥当な範囲を検討するための枠組み（SBOM 対応モデル）、委託先との契約で決めておく事項（SBOM 取引モデル）を盛り込んだと説明されています。流れを一般化すると、次のようになります。

1. 1ソフトウェアのビルドや納品のたびに SBOM を作り、版ごとに保管する。
2. 2新しく公表された脆弱性の情報と、SBOM に載っている部品と版を照らし合わせる。
3. 3該当する部品を含む製品について、その部品の問題の箇所が実際に使われているかなど、影響の有無を判断する。
4. 4影響がある場合は、部品の更新や回避策を適用し、利用者に知らせる。
5. 5修正後のソフトウェアで SBOM を作り直し、最新の状態を保つ。

注意したいのは、SBOM は部品の一覧であって、脆弱性がないことの証明ではない点です。脆弱性の有無は、別に公表される脆弱性の情報と照らし合わせて初めて分かります。また、部品を更新すれば一覧も変わるため、一度作って終わりにはできません。

開発の早い段階からセキュリティの確認を組み込む考え方は、IoT中級の範囲のDevSecOpsとはでも扱っています。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト第11版の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名から当サイトが判断した対応で、公式の発表ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• 定義：SBOM の説明を、似た管理の台帳や指標の説明の中から選ばせる。
• 形式：SPDX と CycloneDX が何か、ほかの用語（脆弱性の評価指標など）と取り違えた記述を見抜かせる。
• 使い方：脆弱性の管理での使い方や、更新の必要性を問う。
• 限界：SBOM があれば脆弱性がない、と言いすぎた記述を不適切として選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。

SBOM は新しく加わった用語なので、似た管理の言葉と混同しやすい点に注意します。

同じく第11版の改版の要点に挙がっている送信ドメイン認証はDMARC・SPF・DKIMとは、アクセスのたびに確かめる設計の考え方はゼロトラストとはで解説しています。

SBOM の説明として、最も適切なものはどれか。

1. 1ソフトウェアの利用者数と利用時間を、機能ごとに集計した稼働の記録
2. 2ソフトウェアの開発にかかった工数と費用を、工程ごとにまとめた原価表
3. 3ソフトウェアを構成する部品と版、依存関係を、機械で読める形で並べた表
4. 4端末ごとに導入したアプリと設定を並べ、台数を管理するための資産台帳

正解：3。SBOM は、ソフトウェアに含まれる部品とその版、部品どうしの依存関係を記録した部品表です。

1は利用状況の分析に使う記録で、部品の構成は分かりません。2は開発の費用の管理に使う表です。4は端末の資産管理の台帳で、一覧にしているのは端末とアプリであり、ソフトウェアの中の部品ではありません。

次の記述ア・イの正誤の組合せとして、正しいものはどれか。

ア：SPDX は、ISO/IEC 5962:2021 として国際標準になっている SBOM の形式である。

イ：CycloneDX は、脆弱性の深刻度を0から10の数値で評価するための指標である。

1. 1ア：正　イ：正
2. 2ア：正　イ：誤
3. 3ア：誤　イ：正
4. 4ア：誤　イ：誤

正解：2。アは正しい記述です。イは誤りで、CycloneDX は SBOM の形式で、Ecma International で ECMA-424 として標準化されています。脆弱性の深刻度を数値で表すのは CVSS などの別の指標です。

1と3はイを正しいとしている点、4はアまで誤りとしている点で当てはまりません。

SBOM の活用に関する記述として、最も不適切なものはどれか。

1. 1SBOM を一度作れば、部品を更新しても作り直す必要はない
2. 2公表された脆弱性の情報を SBOM と照合し、影響する製品を探す
3. 3ビルドの工程で SBOM を自動で作り、版ごとに保管しておく
4. 4調達の契約で、供給者に SBOM を提供してもらう条件を決める

正解：1。部品を更新すれば構成が変わるため、SBOM も作り直さないと、照合の結果が実際の製品と合わなくなります。

2は脆弱性の管理での基本的な使い方です。3は手作業による漏れを防ぎ、版ごとの構成を追えるようにする運用です。4は経済産業省の手引 ver2.0 でも契約で決めておく事項が扱われている考え方で、いずれも適切です。

新しく加わった範囲をほかの用語でも試したい場合は、登録不要のモバイル2級の無料お試し20問で、本番と同じ4択の形式と解説を確認できます。