【SBOM】ソフトウェアにもお薬手帳で危機対策

145【SBOM】ソフトウェアにもお薬手帳で危機対策
SBOMとは、ソフトウェアの部品一覧を記録したリストのこと。

「うちのシステム、中に何が入っているのか、ちゃんと把握できているか？」——会議でふいにそう聞かれて、正直、一瞬言葉に詰まってしまった。そんな経験はないでしょうか。横文字が出てくるたびに身構えてしまう気持ち、よく分かります。でも大丈夫。一緒に、ほんの少しだけその言葉の雰囲気をつかみましょう。

AI活用チャレンジで作った高橋部長とミサキのマンガです♪

なるほどわかる！【超要約】

• SBOMとは、ソフトウェアの部品一覧表。食品の成分表示と同じ発想

• 3つの柱：①使用部品の可視化　②不具合発覚時の即時特定　③サプライチェーン攻撃対策の基盤

SBOMは、脆弱性そのものを直接修正する技術とは違い、「何が入っているか」を見える化する土台になる、という点が特徴です。完全に理解する必要なんてない。なんとなく雰囲気だけつかめたくらいで十分です。

ちなみにSBOMは、第120話で紹介したサプライチェーン攻撃の対策とも深く関わっています。攻撃者は自社そのものではなく、使っているツールや部品を狙うため、何が使われているかを把握していなければ、対応が後手に回ってしまうのです。

今日から使える！【たとえ話】

病院で「今飲んでいる薬は？」と聞かれて、咄嗟に答えられなかった経験はないでしょうか。お薬手帳があれば、いつ、どこでもらった薬かが一覧で分かり、こうした場面でも慌てずに済みます。

ソフトウェアにも、これと同じ仕組みがあります。ソフトの中には、外部のライブラリやコンポーネントといった、いろいろな「部品」が組み込まれています。それを一覧にしたものが、SBOMです。

ある部品に不具合や弱点が見つかったとき、SBOMがあれば、自社のどのシステムがその部品を使っているかを即座に特定できます。お薬手帳と同じで、何かあったときにすぐ対象を絞れる、というわけです。

逆に、SBOMがないと、不具合が見つかってもどこに影響があるか調べるだけで何日もかかってしまうことがあります。最近は、アメリカやヨーロッパでも、企業にSBOMの作成を義務化する動きが出てきています。

高橋部長とミサキの「ながら聞き」会話例

高橋部長：なるほどな……でも、それがあると、何が嬉しいんだい？

ミサキ：そこなんです。例えば、ある部品に不具合や弱点が見つかったとき、SBOMがあれば、自社のどのシステムがその部品を使っているか、すぐに分かるんです。お薬手帳と同じで、何かあったときに即座に対象を絞れる、というわけですね。

高橋部長：あー、それは確かにお薬手帳と同じだな。手帳がなかったら、いちいち全部の薬を思い出さなきゃいけないもんな。

ミサキ：そうなんです。SBOMがないと、不具合が見つかっても、どこに影響があるか調べるだけで何日もかかってしまうこともあるんですよ。

ミサキ：今回のSBOMをたった５分で耳で学べる私ミサキと高橋部長の掛け合いが楽しいポッドキャスト版「こっそりAI教室」は以下のリンクからどうぞ！

今回のまとめ

お薬手帳が「何の薬を飲んでいるか」を記録するように、SBOMは「何の部品が入っているか」を記録する仕組みです。中身を知ることが、慌てないための、いちばんの備えになります。だからこそ大丈夫。僕が、アラフィフ以上のみんなをちゃんと連れて行きます。焦らず、なんとなくの雰囲気だけでもつかんでいきましょう。一緒に、少しずつ、AIの波に乗っていきましょう。

あわせて読みたい

他のキーワードはこちらから

#AI活用 #非エンジニア #こっそりAI教室 #DX #SBOM