サイバー攻撃と防御の実務
SBOM(ソフトウェア部品表)を作って管理する主な目的として、正しいものはどれか。
- A製品に含まれるライブラリなどの部品と版を一覧にし、部品の脆弱性が公表されたときに、影響する製品をすぐ見つける
- Bソフトウェアのソースコードを暗号化しておき、製品を購入した利用者を含む第三者に、プログラムの中身を読まれないように守る
- C製品を作るのに使う半導体や電子部品の一覧から、部品の調達にかかる費用と納期を計算して、生産の計画を立てる
答えと解説を見る
正解：A. 製品に含まれるライブラリなどの部品と版を一覧にし、部品の脆弱性が公表されたときに、影響する製品をすぐ見つける
現在のソフトウェアは、多くのオープンソースのライブラリや他社の部品を組み合わせて作られ、部品がさらに別の部品に依存していることも多くあります。SBOMは、こうした部品の名前、版、提供元、依存の関係などを、機械で読める形式(SPDXやCycloneDXなど)でまとめた一覧です。2021年12月に公表されたLog4jの脆弱性(Log4Shell)のように、広く使われる部品に深刻な脆弱性が見つかったとき、SBOMがあれば、どの製品のどの版が影響を受けるかを素早く調べられます。米国では2021年5月の大統領令で、政府に納めるソフトウェアについてSBOMの提供を求める方針が示されました。
- A. 正しい。部品の一覧があれば、脆弱性の影響の範囲をすぐに調べられます。
- B. SBOMは部品の一覧で、ソースコードを暗号化するものではありません。
- C. 電子部品の部品表(BOM)とは別のもので、ソフトウェアの部品を対象にします。