| 目次 |
|---|
はじめに：CRAとSBOMがもたらす変革
「サイバーレジリエンス法（CRA）」は、EU市場で流通する「デジタル要素を持つ製品」（ハードウェア、ソフトウェア、IoTデバイスなど）のセキュリティ水準向上を目指し、EUが策定した新たな規制です。この法規制への対応において、中核的な役割を果たすのが「SBOM（Software Bill of Materials：ソフトウェア部品表）」です。
SBOMは、CRA対応に不可欠な構成要素であると同時に、本来ソフトウェアの脆弱性管理やセキュリティ維持を実現するための根本的な情報基盤です。CRAの有無にかかわらず、自社製品の安全性と品質管理の観点から、その導入は急務と言えます。
本記事では、CRA対応に求められるSBOMの具体的な要件と、それが企業のセキュリティにもたらす本質的な貢献についてご説明いたします。
CRAが企業に課す義務とタイムライン
CRAは、製品開発の設計段階（Secure by Design）からのセキュリティ考慮を徹底し、製品提供後の脆弱性管理までを一連の義務として企業に課します。主な要件は以下のとおりです。
- Secure by Designの文書化：
設計段階でセキュリティを考慮した証拠を文書として整備し、補完すること。 - 脆弱性の特定と報告：
製品に含まれる脆弱性を特定・文書化し、迅速に公開する義務。 - SBOMの整備：
製品構成を「一般的な形式で機械可読」な形で作成し、技術文書の一部とすること。
特に日本企業が留意すべき適用スケジュールは以下の通りです。
| 日付 | 義務内容 | 内容 |
| 2026年9月11日 | 脆弱性およびインシデントの報告義務の適用開始 | 悪用された脆弱性やセキュリティインシデントについて、EU内の当局へ24時間以内に報告することが求められます。 |
| 2027年12月11日 | CRA全面施行、CEマーク非取得製品の販売禁止 | この日以降、CRAの全要件を満たしCEマークを取得しない製品は、EU市場での販売が原則として禁止されます。 |
SBOMの必要性・重要性：CRA対応を超えて
SBOMは、ソフトウェアに含まれるすべてのコンポーネントや依存関係を網羅的に記録し、脆弱性発生時の迅速な影響範囲の特定と市場対応を可能にするリストです。
2021年12月のLog4j問題*1が示したように、SBOMの有無は企業の対応速度を決定づけます。SBOMが整備されていれば、脆弱性の影響範囲を素早く特定し、迅速な対応が可能となります。逆にSBOMがなければ、企業は重大な潜在的脆弱性を抱えた製品を市場に出し続け、ユーザーのセキュリティリスクを増大させることになります。
このように、CRAの法的要求以前に、SBOMは製品構造を把握し、リスクを継続的に管理するための不可欠なツールです。
*1.脆弱性の重大度を示すCVSSスコアが10点中10点であった、極めて重大な脆弱性。
CRAとSBOMの具体的な関係
CRAは、SBOMを技術文書の一部として位置づけ、「製品の最上位レベルの依存関係を網羅し、一般的に使用される機械可読な形式で作成すること」を義務付けています（附属書I、Part II (1)）。
脆弱性への迅速な対応の根幹
SBOMがなければ、製品に含まれるオープンソースの脆弱性情報を把握できず、CRAが求める迅速な脆弱性公開と対応（ユーザーやWebサイトでの情報提供）は実現困難です。CRAが求める「脆弱性を速やかに提出せよ」という要求に応えるための基盤情報こそがSBOMです。
技術文書としての準拠証明
CRAでは、市場監査当局から要請があった場合、製品が要求事項に準拠していることを証明するための情報・文書の提供が義務付けられています。SBOMは、「Secure by Design」の設計思想と継続的な脆弱性管理が実施されていることの客観的な証拠として、極めて重要な役割を果たします。
SBOMは、ソフトウェアの構造把握による脆弱性管理という主目的とともに、CRA準拠を達成するための重要な鍵となります。
SBOM生成・活用ツールのご紹介
CRA準拠のためには、製品の提供形態や開発プロセスに応じ、適切なツールを利用してSBOMを効率的かつ正確に生成・管理する必要があります。
ソースコードを所持している場合：
SCA（ソフトウェア・コンポジション解析）
オープンソース活用が不可欠なソフトウェア開発では、使用しているライブラリと、それに内在する脆弱性を把握するために、「SCA（Software Composition Analysis／ソフトウェア・コンポジション解析）」が必要です。
ソリューション：HCL AppScan on Cloud の SCA 機能
HCL AppScan on Cloud の SCA 機能は、ソースコード内の依存関係ファイルを解析し、ソフトウェア内のOSSコンポーネントを検出、脆弱性を持つものを特定します。
- OSS情報の検出と脆弱性特定：
ソースコードからOSS情報を検出し、脆弱性を持つコンポーネントを特定します。 - 業界標準フォーマット対応：
SBOM出力の業界標準の一つであるSPDX 2.3フォーマットに対応。これはCRAが要求する「一般的に使用され、機械可読な形式」でのSBOM作成に貢献します。
バイナリデータからSBOMを生成する場合
組み込みソフトウェアやファームウェア、あるいはサプライヤーから受け取ったソースコードがない（またはアクセスできない）バイナリデータのセキュリティを検証したい場合に有効なのが、バイナリ解析ツールです。
ソリューション：SBOMスキャナ
サイエンスパーク社の「SBOMスキャナ」は、以下のユニークな特色を持ちます。
- バイナリデータからのSBOM生成：
PCアプリケーションやWebサイトだけでなく、監視カメラ、ネットワーク機器、IoTデバイスなどの組み込みソフトウェアのバイナリデータからも、簡単にSBOMを生成します。 - 脆弱性レポートの生成：
生成したSBOM情報（OSSのベンダー、プロダクト、バージョン）とCVE（Common Vulnerabilities and Exposures：脆弱性に付与される識別番号）を突き合わせ、脆弱性レポートを迅速に生成します。 - オフライン対応：
オフライン環境での利用が可能であり、機密性の高い環境でも安心して利用できます。
まとめ：SBOMはCRA準拠と持続的な品質維持の鍵
CRAの適用期限が目前に迫る今、SBOMによる効率的な脆弱性管理が、CRA準拠を成功させる鍵です。
SBOMは単なる法対応のための手段ではなく、企業が持続的にソフトウェアの品質を維持し、安全な製品を市場に提供するための基本情報基盤です。
法施行に向けたタイムラインを強く意識し、本記事で紹介したような適切なツールを活用して、迅速にSBOMの整備に着手することが、企業の競争力維持に不可欠です。
ご紹介したソリューション
- HCL AppScan（エヌアイシー・パートナーズ株式会社 サイト (AppScan 全般））
- HCL AppScan on Cloud（HCLSoftware サイト（開発元））
お問い合わせ
上記製品についてのお問い合わせ、ご説明のご依頼、お見積り依頼など、エヌアイシー・パートナーズまでご相談ください。
エヌアイシー・パートナーズ株式会社
技術企画本部
E-mail：voice_partners@niandc.co.jp
