GitHubリポジトリからSBOMを簡単に生成できる新機能をリリース、GitHub：業界標準のSPDXフォーマットのJSONファイルを生成

GitHubは、GitHubのクラウドリポジトリからワンクリックで、米商務省のNTIAのガイドラインに準拠した「SBOM」（ソフトウェア部品表）を生成できる新機能を発表した。

[＠IT]

　GitHubは2023年3月28日（米国時間）、GitHubのクラウドリポジトリへの読み取りアクセスが可能な人なら誰でも、ワンクリックで「SBOM（Software Bill of Materials：ソフトウェア部品表）」を生成できるSBOMエクスポート機能を発表した。この機能で生成されるSBOMは、米国商務省のNTIA（国家電気通信情報局）が発表したSBOMの最小要素のガイドラインに準拠している。

　この新しいSBOMエクスポート機能では、プロジェクトの依存関係とメタデータ（バージョンやライセンスのような）を業界標準の「SPDX」フォーマットで保存したJSONファイルが生成される。このファイルは、セキュリティやコンプライアンスのためのワークフローやツールで使用したり、「Microsoft Excel」でレビューしたりできる。「Google Sheets」との互換性を確保するには、JSONからCSVへのコンバーターを使用する。

　SBOMエクスポート機能により、SBOMをオンデマンドで簡単に生成できるが、開発者はSBOMの生成を、開発ワークフローの通常のステップにすることもできる。