[style_prompt: technical_analysis_news_mode]
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
米政府、ITサプライチェーン指針「M-26-05」公表。自己宣言からSBOMによる「継続的検証」へ転換
米政府は、従来の書類ベースの安全証明を廃止し、SBOM（ソフトウェア部品表）による実態把握を核とする新指針「M-26-05」を公表。IT調達の透明性を劇的に高めます。
【ニュースの概要】
米行政管理予算局（OMB）は、日本時間2025年後半から2026年を見据えた新たなITサプライチェーンセキュリティ指針「M-26-05」を公表しました。本指針は、バイデン政権下で進められてきた大統領令14028号の集大成となります。
「自己宣言書」からの脱却: 開発者が「安全である」と記述するだけの形式的な書類（Self-Attestation Form）への依存を終了します。
SBOMの提出と検証の完全義務化: 納入されるすべてのソフトウェアに対し、マシンリーダブルなSBOM（CycloneDXまたはSPDX形式）の提出を必須化します。
継続的な脆弱性監視の要求: 納入時だけでなく、運用フェーズにおいてもVEX（脆弱性活用情報）等を用いたリアルタイムの監視体制を求めます。
【技術的背景と仕組み】
これまで、政府機関へのソフトウェア提供は「安全な開発プロセスを遵守している」というチェックリスト形式の書面提出が主流でした。しかし、これではサプライチェーンに含まれるオープンソースソフトウェア（OSS）の脆弱性をリアルタイムで捕捉できないという課題がありました。
指針M-26-05は、SSDF（Secure Software Development Framework）の遵守状況を、具体的なデータ（SBOM）で証明することを求めます。これにより、政府側が独自に脆弱性スキャンを行い、ベンダーの報告との整合性を自動的に検証することが可能になります。
graph TD
A["ソフトウェア開発者"] -->|SBOM生成| B("バイナリ/ソースコード")
B -->|納入| C["連邦政府機関"]
A -->|VEX情報の提供| D{"自動検証プラットフォーム"}
C -->|SBOM照合| D
D -->|脆弱性検知| E["リアルタイム・リスク判定"]
E -->|不適合| F["調達停止・改善命令"]
図の説明: 開発者が提供するSBOMとVEX情報を、政府側のプラットフォームで自動照合。書類の正当性ではなく、コードの実態からリスクを判定するフローへ移行します。
【コード・コマンド例】
開発現場では、CI/CDパイプラインにおいてSBOMを自動生成し、M-26-05が求める形式で出力する工程が不可欠となります。以下は、オープンソースツール Syft を用いて、コンテナイメージからCycloneDX形式のSBOMを生成する例です。
# コンテナイメージからSBOMを生成（CycloneDX JSON形式） syft <image_name> -o cyclonedx-json > sbom.json # 生成されたSBOMの整合性を検証（例：有効なJSONかつ仕様に準拠しているか） # 政府指定のバリデータツールでのチェックを想定 sbom-validator validate --format cyclonedx --file sbom.json
また、脆弱性情報の提供（VEX）には、以下のようなJSON構造が求められます。
{
"bomFormat": "CycloneDX",
"vulnerabilities": [
{
"id": "CVE-2023-XXXXX",
"analysis": {
"state": "not_affected",
"detail": "該当コンポーネントは含まれるが、実行パスが通らないため影響なし"
}
}
]
}
【インパクトと今後の展望】
業界への影響（事実）: 米国政府との取引がある全てのITベンダーは、SBOMの生成・管理ツールの導入が必須となります。特にOSSを多用するモダンな開発環境では、依存関係の可視化漏れが契約リスクに直結します。
今後の展望（考察）: この動きは「FedRAMP」等のクラウド認証にも波及し、民間市場におけるデファクトスタンダードになる可能性が高いでしょう。将来的には、SBOMがないソフトウェアは「出所不明の食品」と同様に扱われ、エンタープライズ市場から排除される時代が到来すると予測されます。
【まとめ】
形式から実態へ: 書類による「自己宣言」は通用しなくなり、マシンデータによる証明が必要。
SBOMの標準化: CycloneDX等の標準形式による透明性の確保が開発者の義務となる。
自動化の加速: 人手による管理は不可能になり、CI/CDへのSBOM生成組み込みが不可避。
参考リンク:
