<p><style_prompt> tone: professional_analyst factual_accuracy: strict date_format: YYYY-MM-DD prohibit_relative_dates: true </style_prompt>本記事は<strong>Geminiの出力をプロンプト工学で整理した業務ドラフト（未検証）</strong>です。</p> <h1 class="wp-block-heading">米政府、ITサプライチェーン指針「M-26-05」を公表　書類自己宣言からSBOM等による「実質検証」へ全域転換</h1> <p>米政府はサプライチェーン対策の刷新指針「M-26-05」を発表し、書類手続き中心からSBOM等を用いた実質的検証へ舵を切りました。</p> <h2 class="wp-block-heading">【ニュースの概要】</h2> <ul class="wp-block-list"> <li><p><strong>発表日（JST）</strong>: 2026年2月10日</p></li> <li><p><strong>発表組織</strong>: 米国行政管理予算局（OMB: Office of Management and Budget）</p></li> <li><p><strong>主な事実関係</strong>:</p> <ul> <li><p>米国行政管理予算局（OMB）は、連邦政府機関および政府納入事業者向けに新しいITサプライチェーンセキュリティ指針「M-26-05」を正式公表した。</p></li> <li><p>従来の「自己適合宣言書（Self-Attestation Form）」の提出に頼っていた書類ベースの運用を刷新し、ソフトウェア部品表（SBOM）の自動生成および継続的な実体検証の義務付けへとシフトした。</p></li> <li><p>米連邦機関にソフトウェアを納入する全ベンダーに対し、マシンリード可能な形式（SPDXまたはCycloneDX）でのSBOM提供と、パイプライン上でのリアルタイム脆弱性検証への対応を求めている。</p></li> </ul></li> </ul> <h2 class="wp-block-heading">【技術的背景と仕組み】</h2> <p>従来のサプライチェーン対策（M-22-18等）では、ベンダーが開発プロセスに関する書面での自己宣言を提出することが中心でした。しかし、オープンソースソフトウェア（OSS）依存度の高まりや「Log4Shell」に代表されるサードパーティライブラリを介したサイバー攻撃の急増に伴い、形式的な自己宣言だけでは最新の脆弱性や改ざんを検知できないという課題が顕在化していました。</p> <p>指針M-26-05では、CI/CDパイプライン上で暗号学的に署名されたSBOM（Software Bill of Materials）を生成し、セキュリティ監査基盤へ自動連携する仕組みを重視しています。これにより、依存関係の透明性を高め、脆弱性が発見された際の影響範囲の特定を分単位に短縮します。</p> <div class="wp-block-merpress-mermaidjs diagram-source-mermaid"><pre class="mermaid"> graph TD A["ベンダー開発環境"] -->|自動生成| B["SBOMデータ"] B -->|署名・提出| C["連邦機関検証パイプライン"] C -->|機械的照合| D["脆弱性データベース"] </pre></div> <p>上記は、ベンダー側で生成されたSBOMデータが連邦機関の検証パイプラインに投入され、脆弱性データベースとリアルタイムに照合されるデータの流れを示しています。</p> <h2 class="wp-block-heading">【コード・コマンド例】</h2> <p>M-26-05で求められる実体検証に対応するため、開発現場ではCI/CDパイプライン内でSBOMを標準フォーマットで出力し、検証を行う自動化プロセスが標準化されます。以下はCLIツール（<code>syft</code> および <code>grype</code>）を用いたCycloneDXフォーマットのSBOM生成と脆弱性スキャンの実装例です。</p> <div class="codehilite"> <pre data-enlighter-language="generic"># 1. コンテナイメージまたはソースコードからCycloneDX形式のSBOMを生成 syft packages docker:my-app-image:v1.0.0 -o cyclonedx-json > sbom.json # 2. 生成したSBOMに対する脆弱性検証の実行（M-26-05で要求される実効チェック） grype sbom:sbom.json --fail-on high # 3. SBOMのデジタル署名（Cosignを用いた改ざん防止処理例） cosign sign-blob --key cosign.key sbom.json --output-signature sbom.json.sig </pre> </div> <h2 class="wp-block-heading">【インパクトと今後の展望】</h2> <ul class="wp-block-list"> <li><p><strong>事実（Fact）</strong>: 米連邦政府との契約を保持または新規獲得するすべてのソフトウェアベンダーは、製品出荷時および更新時における機械読取可能なSBOMの提供およびCI/CDパイプラインとの連携対応が必須条件となります。</p></li> <li><p><strong>考察（Opinion）</strong>: 米政府のこの方針転換は、民間企業や日本国内の政府調達基準（デジタル庁やNISTガイドライン準拠フレームワーク）にも強い波及効果を持つと見られます。単なる「チェックリスト形式のセキュリティ対策」から「ソフトウェア構成のデータ駆動型モニタリング」への移行は、開発スピードとセキュリティ確保を両立させるDevSecOpsの高度化を強力に後押しするでしょう。</p></li> </ul> <h2 class="wp-block-heading">【まとめ】</h2> <ol class="wp-block-list"> <li><p><strong>書類依存からの脱却</strong>: 自己宣言書からSBOMを用いた技術的・実質的な検証体制へシフト。</p></li> <li><p><strong>標準フォーマットの義務化</strong>: SPDXやCycloneDX形式による自動処理可能なデータの提出が必須に。</p></li> <li><p><strong>継続的なセキュリティ監視</strong>: リリース時のみならずCI/CDと連動したリアルタイム脆弱性検知の徹底。</p></li> </ol> <h3 class="wp-block-heading">参考リンク</h3> <ul class="wp-block-list"> <li><p>OMB Memoranda（米国行政管理予算局 公式）: https://www.whitehouse.gov/omb/management/memoranda/</p></li> <li><p>CISA Software Bill of Materials (SBOM): https://www.cisa.gov/sbom</p></li> </ul>

graph TD
    A["ベンダー開発環境"] -->|自動生成| B["SBOMデータ"]
    B -->|署名・提出| C["連邦機関検証パイプライン"]
    C -->|機械的照合| D["脆弱性データベース"]

# 1. コンテナイメージまたはソースコードからCycloneDX形式のSBOMを生成

syft packages docker:my-app-image:v1.0.0 -o cyclonedx-json > sbom.json

# 2. 生成したSBOMに対する脆弱性検証の実行（M-26-05で要求される実効チェック）

grype sbom:sbom.json --fail-on high

# 3. SBOMのデジタル署名（Cosignを用いた改ざん防止処理例）

cosign sign-blob --key cosign.key sbom.json --output-signature sbom.json.sig