SBOMが脆弱性問題を解決！（となるといいのですが……）

　SBOMがあれば、脆弱性管理がより簡単に、確実に行える……といいたいところですが、まだまだ道半ばという印象を持っています。以前より存在していたソリューションは、主にプログラム内に含むオープンソースソフトウェアやライブラリのバージョンやライセンスの管理を目的としていたものも多く、ソリューション活用には課題が多いというのが現状です。

図2　経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」でも冒頭部分（p2～3）でSBOM導入の課題が列挙されている

　残念ながら、SBOMもまた「入れるだけでセキュリティレベルが上がる」というソリューションではありません。おそらく、製造業におけるBOMの表を構成する要素がバラバラだったり、日付が記入されていても表ごとに定義が違っていたり、そもそも原価やロット管理の概念が違っていたり……。もしかしたらSBOMに関しては、皆さんの方が「それはうまくいかないんじゃないか？」ということがすぐに理解できるのかもしれません。

　しかし、製造業でも正しいBOMが運用されているように、SBOMでセキュリティを考えるという考え方自体は間違ってはいないはずです。SBOMは今後、多くの企業で導入を検討していくことになるかと思いますが、今回の件は製造業の方こそ、率先してそのメリットとデメリット、落とし穴に気がつけるような気がします。もしかしたら、IT部門の人から「BOMってなに？」という話が来るかもしれません。その時には、上記の資料と皆さんの経験から、どうしたらうまくいくのかを助言できるのではないでしょうか。

　SBOMがすぐに上手くまわるとは思いませんが、これがもしかしたら現場とIT部門をつなぐ共通言語になる可能性はあります。これを機に、ぜひお互いの経験をミックスし、交流が深まることを期待したいと思います。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！