Linux Foundationが調査レポート「SBOMとサイバーセキュリティへの対応状況」を公開：サイバーセキュリティ戦略の要となるか

The Linux Foundation Japanは、調査レポート「SBOM（ソフトウェア部品表）とサイバーセキュリティへの対応状況」を公開した。SBOMの採用の度合いと、オープンソース全体のサイバーセキュリティの改善に向けたSBOMの重要性について述べているという。

[＠IT]

　The Linux Foundation Japanは2022年5月12日、調査レポート「The State of Software Bill of Materials and Cybersecurity Readiness」の日本語版「SBOM（ソフトウェア部品表）とサイバーセキュリティへの対応状況」を公開した。Webページからダウンロードできる。

「SBOMとサイバーセキュリティへの対応状況」（提供：The Linux Foundation Japan）

　この調査レポートは「ソフトウェアサプライチェーンを保護するための課題と機会について理解を深める研究プロジェクトの第1弾」としてLinux Foundation Researchが、SPDX（Software Package Data Exchange）やOpenChain、OpenSSF（Open Source Security Foundation）と協力して作成した。企業におけるSBOMの準備・採用の度合いと、オープンソースエコシステム全体のサイバーセキュリティの改善に向けたSBOMの重要性について述べているという。

SBOM利用者は「ソフトウェアサプライチェーンの保護」に注目

　The Linux Foundation Japanは「ソフトウェアのサプライチェーンを保護するために活動している組織はSBOMを重視している」と分析している。

　調査レポートによると、導入しているソフトウェアのセキュリティを憂慮している組織の割合は98％で、ソフトウェアのセキュリティに強い懸念を抱いている割合は72％に上った。

　SBOMを「ソフトウェアサプライチェーンを保護するための重要な方法」と考えている組織の割合は45％だった。グローバル規模でのソフトウェア管理を想定してか、「グローバルで一意な識別子の対応を希望している」という割合は39％、「再現可能なビルドを使用したコンポーネントの検証を希望している」という割合は34％だった。

　SBOMを利用する利点について聞くと「開発者がアプリケーション内のコンポーネント間の依存関係を理解しやすいこと」が最も多く、51％だった。（複数回答、以下同）。次いで「コンポーネントの脆弱（ぜいじゃく）性を監視しやすいこと」（49％）、「ライセンスコンプライアンスを管理しやすいこと」（44％）が続いた。調査レポートによると90％の組織がSBOMへの移行を開始しているという。

　The Linux Foundation Japanは「さらに業界のコンセンサスが得られれば、SBOMの導入と活用がいっそう進むだろう」としている。