米政府、ITサプライチェーン指針「M-26-05」公表。自己宣言からSBOMによる「継続的検証」へ転換

Tech

[style_prompt: technical_analysis_news_mode]

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

米政府、ITサプライチェーン指針「M-26-05」公表。自己宣言からSBOMによる「継続的検証」へ転換

米政府は、従来の書類ベースの安全証明を廃止し、SBOM（ソフトウェア部品表）による実態把握を核とする新指針「M-26-05」を公表。IT調達の透明性を劇的に高めます。

【ニュースの概要】

米行政管理予算局（OMB）は、日本時間2025年後半から2026年を見据えた新たなITサプライチェーンセキュリティ指針「M-26-05」を公表しました。本指針は、バイデン政権下で進められてきた大統領令14028号の集大成となります。

  • 「自己宣言書」からの脱却: 開発者が「安全である」と記述するだけの形式的な書類（Self-Attestation Form）への依存を終了します。

  • SBOMの提出と検証の完全義務化: 納入されるすべてのソフトウェアに対し、マシンリーダブルなSBOM（CycloneDXまたはSPDX形式）の提出を必須化します。

  • 継続的な脆弱性監視の要求: 納入時だけでなく、運用フェーズにおいてもVEX（脆弱性活用情報）等を用いたリアルタイムの監視体制を求めます。

【技術的背景と仕組み】

これまで、政府機関へのソフトウェア提供は「安全な開発プロセスを遵守している」というチェックリスト形式の書面提出が主流でした。しかし、これではサプライチェーンに含まれるオープンソースソフトウェア（OSS）の脆弱性をリアルタイムで捕捉できないという課題がありました。

指針M-26-05は、SSDF（Secure Software Development Framework）の遵守状況を、具体的なデータ（SBOM）で証明することを求めます。これにより、政府側が独自に脆弱性スキャンを行い、ベンダーの報告との整合性を自動的に検証することが可能になります。

graph TD
    A["ソフトウェア開発者"] -->|SBOM生成| B("バイナリ/ソースコード")
    B -->|納入| C["連邦政府機関"]
    A -->|VEX情報の提供| D{"自動検証プラットフォーム"}
    C -->|SBOM照合| D
    D -->|脆弱性検知| E["リアルタイム・リスク判定"]
    E -->|不適合| F["調達停止・改善命令"]

図の説明: 開発者が提供するSBOMとVEX情報を、政府側のプラットフォームで自動照合。書類の正当性ではなく、コードの実態からリスクを判定するフローへ移行します。

【コード・コマンド例】

開発現場では、CI/CDパイプラインにおいてSBOMを自動生成し、M-26-05が求める形式で出力する工程が不可欠となります。以下は、オープンソースツール Syft を用いて、コンテナイメージからCycloneDX形式のSBOMを生成する例です。

# コンテナイメージからSBOMを生成（CycloneDX JSON形式）

syft <image_name> -o cyclonedx-json > sbom.json

# 生成されたSBOMの整合性を検証（例：有効なJSONかつ仕様に準拠しているか）


# 政府指定のバリデータツールでのチェックを想定

sbom-validator validate --format cyclonedx --file sbom.json

また、脆弱性情報の提供（VEX）には、以下のようなJSON構造が求められます。

{
  "bomFormat": "CycloneDX",
  "vulnerabilities": [
    {
      "id": "CVE-2023-XXXXX",
      "analysis": {
        "state": "not_affected",
        "detail": "該当コンポーネントは含まれるが、実行パスが通らないため影響なし"
      }
    }
  ]
}

【インパクトと今後の展望】

業界への影響（事実）: 米国政府との取引がある全てのITベンダーは、SBOMの生成・管理ツールの導入が必須となります。特にOSSを多用するモダンな開発環境では、依存関係の可視化漏れが契約リスクに直結します。

今後の展望（考察）: この動きは「FedRAMP」等のクラウド認証にも波及し、民間市場におけるデファクトスタンダードになる可能性が高いでしょう。将来的には、SBOMがないソフトウェアは「出所不明の食品」と同様に扱われ、エンタープライズ市場から排除される時代が到来すると予測されます。

【まとめ】

  1. 形式から実態へ: 書類による「自己宣言」は通用しなくなり、マシンデータによる証明が必要。

  2. SBOMの標準化: CycloneDX等の標準形式による透明性の確保が開発者の義務となる。

  3. 自動化の加速: 人手による管理は不可能になり、CI/CDへのSBOM生成組み込みが不可避。

参考リンク:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました