[STYLE_PROMPT_ENABLED: TECH_ANALYST_v2] 本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
米政府、ITサプライチェーンセキュリティを「実態重視」に刷新。新指針M-26-05を公表
米予算管理局がM-26-05を公表。従来の書類による自己申告から、SBOM等の技術的証跡を重視する実効性の高いサプライチェーン管理へと転換します。
【ニュースの概要】
2025年1月13日（米国東部時間）、米国行政管理予算局（OMB）は、連邦政府のソフトウェアサプライチェーンセキュリティを強化する新たな覚書「M-26-05」を公表しました。
指針の更新： 2022年公表のM-22-18および2023年のM-23-16を補完・更新し、実効性を高める内容となっています。
「書類から実態」へのシフト： 単なるチェックリスト形式の自己申告書（Attestation Form）への依存を減らし、ソフトウェア構成分析（SCA）に基づく技術的な証明を重視します。
SBOMの活用推進： ソフトウェア部品表（SBOM）の提出と、それを用いた脆弱性管理を連邦機関に強く求め、透明性の確保を加速させます。
【技術的背景と仕組み】
これまでのサプライチェーン対策は、ベンダーが「安全である」と宣誓する書類ベースの管理が主流でした。しかし、オープンソースライブラリの脆弱性を突いた攻撃（Log4j問題など）に対しては、書類だけでは対応が後手に回るという課題がありました。
今回のM-26-05では、「検証可能な証跡」をプロセスの中心に据えています。具体的には、CISA（サイバーセキュリティ・インフラセキュリティ庁）が提供するリポジトリを活用し、ベンダーから提供されたSBOMを機械可読な形式で管理・照合する仕組みを構築します。
graph TD
Vendor["ソフトウェアベンダー"] -->|SBOM/VEX生成| CISA_Repo["CISA共通リポジトリ"]
CISA_Repo -->|技術的証跡の提供| Federal_Agencies["連邦政府各機関"]
Federal_Agencies -->|継続的モニタリング| Risk_Assessment["リスク評価/承認"]
Risk_Assessment -->|不備のフィードバック| Vendor
このフローにより、開発から導入、運用に至るまで、静的な書類ではなく動的なデータ（SBOMやVEX：脆弱性情報交換）に基づいたライフサイクル管理が可能になります。
【コード・コマンド例】
M-26-05の要請に応えるためには、ビルドパイプラインで自動的にSBOMを生成し、その妥当性を検証するツール群（Syft, Grype, CycloneDX-cli等）の導入が不可欠です。
以下は、コンテナイメージからSBOM（CycloneDX形式）を生成し、既知の脆弱性をスキャンする操作イメージです。
# 1. ソフトウェア構成をスキャンしてSBOMを生成 (Syftを使用) syft my-application-image:latest -o cyclonedx-json > sbom.json # 2. 生成されたSBOMを基に脆弱性をチェック (Grypeを使用) grype sbom:./sbom.json # 3. SBOMの形式が要件（CycloneDX v1.5等）に適合しているか検証 cyclonedx-cli validate --input-file sbom.json
【インパクトと今後の展望】
（事実） 米政府にソフトウェアを納入する全ベンダーは、今後M-26-05に準拠した技術的証跡の提示を求められます。これには米国内企業だけでなく、グローバルに展開する日本企業も含まれます。
（考察） 今回の刷新は、サイバーセキュリティが「ベストエフォートの宣言」から「データによる証明」の時代へ完全に移行したことを示唆しています。特に「SBOMの提出」が実質的な義務へと近づいたことで、開発プロセスにおけるSBOM生成の自動化（DevSecOps）への投資が、市場での競争力を左右する重要な要素になるでしょう。
今後は、米政府の動きに追従する形で、欧州のサイバーレジリエンス法（CRA）や日本の重要インフラ分野における調達基準も、同様の「技術的証跡重視」へ傾斜していくことが予想されます。
【まとめ】
2025年1月13日のM-26-05公表により、米政府の調達基準が「書類ベース」から「技術データ重視」へと刷新された。
SBOM（ソフトウェア部品表）の提出と活用が中核となり、ベンダーには透明性の高い開発プロセスが求められる。
DevSecOpsの自動化を進め、機械可読な証跡を常時生成できる体制を整えることが、今後の官公庁・グローバル案件獲得の必須条件となる。
参考リンク：
