米政府、ITサプライチェーンセキュリティを「実態重視」に刷新。新指針M-26-05を公表

Tech

[STYLE_PROMPT_ENABLED: TECH_ANALYST_v2] 本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

米政府、ITサプライチェーンセキュリティを「実態重視」に刷新。新指針M-26-05を公表

米予算管理局がM-26-05を公表。従来の書類による自己申告から、SBOM等の技術的証跡を重視する実効性の高いサプライチェーン管理へと転換します。

【ニュースの概要】

2025年1月13日（米国東部時間）、米国行政管理予算局（OMB）は、連邦政府のソフトウェアサプライチェーンセキュリティを強化する新たな覚書「M-26-05」を公表しました。

  • 指針の更新： 2022年公表のM-22-18および2023年のM-23-16を補完・更新し、実効性を高める内容となっています。

  • 「書類から実態」へのシフト： 単なるチェックリスト形式の自己申告書（Attestation Form）への依存を減らし、ソフトウェア構成分析（SCA）に基づく技術的な証明を重視します。

  • SBOMの活用推進： ソフトウェア部品表（SBOM）の提出と、それを用いた脆弱性管理を連邦機関に強く求め、透明性の確保を加速させます。

【技術的背景と仕組み】

これまでのサプライチェーン対策は、ベンダーが「安全である」と宣誓する書類ベースの管理が主流でした。しかし、オープンソースライブラリの脆弱性を突いた攻撃（Log4j問題など）に対しては、書類だけでは対応が後手に回るという課題がありました。

今回のM-26-05では、「検証可能な証跡」をプロセスの中心に据えています。具体的には、CISA（サイバーセキュリティ・インフラセキュリティ庁）が提供するリポジトリを活用し、ベンダーから提供されたSBOMを機械可読な形式で管理・照合する仕組みを構築します。

graph TD
    Vendor["ソフトウェアベンダー"] -->|SBOM/VEX生成| CISA_Repo["CISA共通リポジトリ"]
    CISA_Repo -->|技術的証跡の提供| Federal_Agencies["連邦政府各機関"]
    Federal_Agencies -->|継続的モニタリング| Risk_Assessment["リスク評価/承認"]
    Risk_Assessment -->|不備のフィードバック| Vendor

このフローにより、開発から導入、運用に至るまで、静的な書類ではなく動的なデータ（SBOMやVEX：脆弱性情報交換）に基づいたライフサイクル管理が可能になります。

【コード・コマンド例】

M-26-05の要請に応えるためには、ビルドパイプラインで自動的にSBOMを生成し、その妥当性を検証するツール群（Syft, Grype, CycloneDX-cli等）の導入が不可欠です。

以下は、コンテナイメージからSBOM（CycloneDX形式）を生成し、既知の脆弱性をスキャンする操作イメージです。

# 1. ソフトウェア構成をスキャンしてSBOMを生成 (Syftを使用)

syft my-application-image:latest -o cyclonedx-json > sbom.json

# 2. 生成されたSBOMを基に脆弱性をチェック (Grypeを使用)

grype sbom:./sbom.json

# 3. SBOMの形式が要件（CycloneDX v1.5等）に適合しているか検証

cyclonedx-cli validate --input-file sbom.json

【インパクトと今後の展望】

（事実） 米政府にソフトウェアを納入する全ベンダーは、今後M-26-05に準拠した技術的証跡の提示を求められます。これには米国内企業だけでなく、グローバルに展開する日本企業も含まれます。

（考察） 今回の刷新は、サイバーセキュリティが「ベストエフォートの宣言」から「データによる証明」の時代へ完全に移行したことを示唆しています。特に「SBOMの提出」が実質的な義務へと近づいたことで、開発プロセスにおけるSBOM生成の自動化（DevSecOps）への投資が、市場での競争力を左右する重要な要素になるでしょう。

今後は、米政府の動きに追従する形で、欧州のサイバーレジリエンス法（CRA）や日本の重要インフラ分野における調達基準も、同様の「技術的証跡重視」へ傾斜していくことが予想されます。

【まとめ】

  • 2025年1月13日のM-26-05公表により、米政府の調達基準が「書類ベース」から「技術データ重視」へと刷新された。

  • SBOM（ソフトウェア部品表）の提出と活用が中核となり、ベンダーには透明性の高い開発プロセスが求められる。

  • DevSecOpsの自動化を進め、機械可読な証跡を常時生成できる体制を整えることが、今後の官公庁・グローバル案件獲得の必須条件となる。

参考リンク：

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました