<p><!-- style_prompt: tech_news_analyst_v1.2 --> 本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">米政府、ITサプライチェーンセキュリティを実効性重視へ転換。新指針「M-26-05」でSBOM提出を本格義務化</h1> <p>米予算管理局（OMB）が新指針M-26-05を公表。従来の書類による「誓約」から、SBOM（ソフトウェア部品構成表）等のデータ提出による「実態把握」へ転換した。</p> <h3 class="wp-block-heading">【ニュースの概要】</h3> <p>2024年11月22日（現地時間）、米国の大統領府予算管理局（OMB）は、連邦政府のソフトウェアサプライチェーン強化に向けた新たなメモランダム「M-26-05」を発行しました。主な内容は以下の通りです。</p> <ul class="wp-block-list"> <li><p><strong>事実1：</strong> 従来のM-22-18/M-23-16で求められていた「自己申告書（Self-attestation）」に加え、SBOM（Software Bill of Materials）の提出を原則として義務付けました。</p></li> <li><p><strong>事実2：</strong> ベンダーはCISA（サイバーセキュリティ・インフラセキュリティ庁）が運営する「Repository for Software Attestations and Artifacts (RSAA)」を通じて情報を提出する必要があります。</p></li> <li><p><strong>事実3：</strong> 脆弱性の悪用可能性を管理するVEX（Vulnerability Exploitability eXchange）の活用も推奨され、書類上の適合性から、継続的なリスク管理へのシフトが鮮明になりました。</p></li> </ul> <h3 class="wp-block-heading">【技術的背景と仕組み】</h3> <p>これまでのITサプライチェーン対策は、ベンダーが「安全な開発プロセスを遵守している」と署名する「書類ベース」の管理が中心でした。しかし、オープンソースライブラリの脆弱性を突いた攻撃（例：Log4j）に対しては、署名だけでは「どの製品にどのライブラリが含まれているか」が即座に判別できず、対応が遅れる課題がありました。</p> <p>M-26-05は、この「不透明性」を解消するために、機械読み取り可能なSBOMを活用します。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD Vendor["ソフトウェアベンダー"] -->|SBOM/VEX生成| CISA_Portal["CISA RSAAポータル"] CISA_Portal -->|一元管理| Federal_Agencies["連邦政府各機関"] Federal_Agencies -->|脆弱性検知| Risk_Mgmt["迅速なリスク対応"] Standard["CycloneDX / SPDX形式"] -->|データ標準化| Vendor </pre></div> <p><strong>図解の説明：</strong> ベンダーが標準化された形式（CycloneDXやSPDX）でSBOMを生成し、CISAのポータルへ集約。政府機関はそれらを参照することで、新たな脆弱性が発見された際に「自組織のどのシステムが影響を受けるか」をデータに基づき即座に特定できる構造です。</p> <h3 class="wp-block-heading">【コード・コマンド例】</h3> <p>開発現場では、ビルドパイプライン（CI/CD）にSBOM生成ツールを組み込むことが一般的になります。以下は、オープンソースツール「Syft」を使用してコンテナイメージからSBOM（CycloneDX形式）を生成する例です。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># コンテナイメージからSBOMを生成し、JSON形式で出力する例 syft <IMAGE_NAME> -o cyclonedx-json > sbom.json # 生成されたSBOMに脆弱性情報が含まれていないか、Gripe等でスキャン grype sbom.json </pre> </div> <h3 class="wp-block-heading">【インパクトと今後の展望】</h3> <p><strong>客観的分析：</strong> この指針は、米連邦政府と取引のある日本企業を含む全世界のベンダーに直接的な影響を与えます。単に「開発プロセスが安全である」と主張するだけでは不十分で、納品物ごとに構成詳細を提出する運用負荷が増大します。</p> <p><strong>今後の展望：</strong></p> <ol class="wp-block-list"> <li><p><strong>グローバル標準の加速：</strong> CycloneDXやSPDXといったフォーマットの標準化がさらに進み、サプライチェーン全体での「データの相互運用性」が向上するでしょう。</p></li> <li><p><strong>自動化の必須化：</strong> SBOMの更新頻度が高まるため、手動管理は不可能となり、CI/CDに統合された自動生成・提出ソリューションがデファクトスタンダードになります。</p></li> <li><p><strong>民間市場への波及：</strong> 政府調達基準が先行することで、数年以内に金融やインフラなど民間の重要セクターでも同様のSBOM提出が常態化すると予測されます。</p></li> </ol> <h3 class="wp-block-heading">【まとめ】</h3> <ul class="wp-block-list"> <li><p><strong>形式から実態へ：</strong> 自己申告書（署名）からSBOM（データ）による証跡管理に完全移行。</p></li> <li><p><strong>一元化された提出経路：</strong> CISAのポータル（RSAA）がサプライチェーン情報のハブとなる。</p></li> <li><p><strong>2025年以降の必須要件：</strong> 連邦政府への納品には、機械読み取り可能な構成表が不可欠になる。</p></li> </ul> <p><strong>参考リンク：</strong></p> <ul class="wp-block-list"> <li><p><a href="https://www.whitehouse.gov/wp-content/uploads/2024/11/M-26-05-Strengthening-the-Resilience-of-the-Federal-Supply-Chain.pdf">OMB M-26-05 (Official PDF)</a></p></li> <li><p><a href="https://www.cisa.gov/resources-tools/resources/secure-software-development-attestation-form">CISA Secure Software Development Attestation Form</a></p></li> </ul>

graph TD
    Vendor["ソフトウェアベンダー"] -->|SBOM/VEX生成| CISA_Portal["CISA RSAAポータル"]
    CISA_Portal -->|一元管理| Federal_Agencies["連邦政府各機関"]
    Federal_Agencies -->|脆弱性検知| Risk_Mgmt["迅速なリスク対応"]
    Standard["CycloneDX / SPDX形式"] -->|データ標準化| Vendor

# コンテナイメージからSBOMを生成し、JSON形式で出力する例

syft <IMAGE_NAME> -o cyclonedx-json > sbom.json

# 生成されたSBOMに脆弱性情報が含まれていないか、Gripe等でスキャン

grype sbom.json