急速に注目集める「SBOM」、Microsoftが生成ツールをOSS化 その機能とは？：幅広いソフトウェアリポジトリに簡単に統合できる

Microsoftはソフトウェア部品表（SBOM）生成ツールをオープンソースとして公開した。ソフトウェアのサプライチェーンを管理でき、セキュリティ向上にも役立つ。

[＠IT]

　Microsoftは2022年7月12日（米国時間）、SBOM（Software Bill of Materials：ソフトウェア部品表）生成ツール「sbom-tool」をオープンソースとして公開した。

　SBOMはソフトウェアを構成する全てのコンポーネントのリストのこと。ソフトウェアサプライチェーンにおける透明性や、依存関係のトレーサビリティー（追跡可能性）を確保するための有効な手段として、世界的に普及が進んでいる。例えば、2021年の米国大統領令「国家のサイバーセキュリティの向上」においても、SBOMは重要な要件として挙げられている。

　Microsoftによると、今回のSBOM生成ツールは汎用（はんよう）的で、業務に広く利用されてきた実績がある。WindowsやLinux、macOSなどのプラットフォームで動作し、SPDX（Software Package Data Exchange）形式でSBOMを生成する。SPDXはSBOM情報を伝達するための国際オープン標準（ISO/IEC JTC1標準）に準拠している。

　今回のツールはさまざまなパッケージ管理システムなどと簡単に統合して、これらの管理システムを自動検出できる。こうした自動検出機能は今後も拡充されていく予定だ。

　対応するのは以下のシステム。