日本OSS推進フォーラム主催
最新版「OSS鳥瞰図」、「SBOM」の解説セミナー

セキュリティ分野で次のバズワードとして注目され始めた「SBOM」とは？
（ソフトウェア部品表）

2022年 9 月30日

株式会社ベリサーブ
武田一城© 2022 VeriServe Corporation

はじめに（この講演の主旨）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

1

この講演の主旨
サイバー攻撃は、今やグローバル規模におけるビッグビジネスの様相となっています。
特に利用頻度の高いソフトウェアの脆弱性の公開時に、迅速に対応できない企業や組織による被害が少なからずあり、様々な事情でその状況はなかなか改善されません。

どれだけ「堅固なセキュリティ対策」をしていたとしても、ソフトウェア自体に脆弱性があれば、それらの対策は一気に無効化されてしまう…。
© 2022 VeriServe Corporation2

そんな難題を一気に解決する方法があるとしたら、知りたいですよね？

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

3

本日は…
ソフトウェアの脆弱性への対応という難題を一気に解決できるかもしれない「SBOM」のお話をします© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

4

自己紹介

武田 一城(たけだ かずしろ)
株式会社ベリサーブ
ソリューション事業部 マーケティング部長（特定非営利活動法人 日本PostgreSQLユーザ会 理事）
1974年千葉県生まれ。
就職超氷河期の真っただ中の1998年に大学を卒業。2000年問題対応の直前にIT業界入り。インター
ネットビジネス草創期にマーケティングと戦略の重要性に目覚めた。システムプラットフォーム、セキュリティ分野におけるマーケティングスペシャリストとなる。製品・サービスの新規立ち上げの実績を数多く経験。特に次世代型ファイアウォール分野では日本市場の立ち上げ自体大きく貢献した。
現在では、Web/雑誌の執筆実績も多数あり、アニメやゲーム、城郭などのたとえ話でわかりやすいセ
キュリティの解説などで定評がある。その他、日本ネットワークセキュリティ協会（JNSA）や情報処理推進機構（IPA）のワーキンググループ・委員会活動と共に、セミナー講演なども精力的に実施している。

＜主な著作物＞●Web連載・日本型セキュリティの現実と理想（ITmediaエンタープライズ）
・今、理解しておきたい「学校IT化の現実」他(TechTarget Japan)
・企業セキュリティの歩き方（ZDNET） ［連載中］
・ITけものみち（Internet Watch） ［連載中］●書籍
・「CISOハンドブック(共著)」/技術評論社
・「内部不正対策１４の論点(共著)」/インプレス
・「すべてわかるIoT大全2017(共著)」/日経BP・「すべてわかるセキュリティ大全2018(共著)」/日経BP© 2022 VeriServe Corporation

5

アジェンダ

１．なぜ、脆弱性の公開時の対応が重要なのか？
２．難しいシステムのアップデート

３．「米国の大統領令」と「SBOM」
４．日本市場におけるSBOMの導入動向
５．まとめ© 2022 VeriServe Corporation

6

❶
のな
対ぜ
応、
脆
が
弱
重
性
要
公
な
開
の
か時
？
© 2022 VeriServe Corporation

セキュリティホール（脆弱性）

会社名・製品名・サービス名は、各社の登録商標または商標です。

7

脆弱性の公開は、セキュリティ
インシデントに直結します。
なぜなら、攻撃者が脆弱性を認識すれば、セキュリティ対策の有無に関わらず、システムに侵入されてしまうからです！

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

8

脆弱性のパターン

実は・・・
サイバー攻撃に起因するインシデントのパターンはそれほど多くない。

概ね３つに集約されます© 2022 VeriServe Corporation

9❶ APT等と表現される本気の攻撃❷ 添付ファイル開封等でのマルウェア感染❸ 脆弱性を衝く攻撃© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

10❶ APT等と表現される本気の攻撃
この攻撃は、高い技術を持つ攻撃者が、本気で「手間」「暇」「時間」という貴重なリソースを使って行う攻撃手法です。
実際、このような攻撃に際した場合、ほとんどの企業は対策できないと言われることも少なくありません。
その一方、それなりの対策をしている場合、それほど簡単に突破されない可能性もあります。ただし、いつ来るか分からない攻撃に備えるのは非常に難しく、攻撃側が絶対に優位でもあるので、防御側はセキュリティを担保するためのシステム運用や攻撃検知の仕組みを整備して、攻撃に備え続ける必要があります。

防御側はいつ来るか分からない攻撃に「備え続ける」しかない（ただし、そのような攻撃の絶対数はそれほど多くない）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

11

❷ 添付ファイル開封等でのマルウェア感染
マルウェアが添付されたメール等は、端的に言うとほとんどコストをかけずに実施できるばら撒き型の攻撃手法と言えます。ただし、だからといってそれが脅威ではない訳ではありません。セキュリティ対策が堅固であっても、何らかの被害を受ける可能性があります。場合によっては、堅固な対策をしている大企業ほど、システム利用者が多いことで、その中の一人がマルウェアを開封（実行）しただけで被害を受けることもあるのです。
しかし、最近のマルウェアはアンチウィルスソフト等のシグネチャーに検知されること避ける意図もあって、添付されたマルウェア自体が感染力やスパイ機能を持っていることはそれほど多くありません。そのため、マルウェアを開封してしまっても、セキュリティインシデント窓口に適切な報告をする等の迅速な対応ができれば、被害を免れる可能性が高まります。

無差別のばら撒き攻撃のすべてを防御することは非常に難しい（ただし、マルウェアの開封が被害に直結しない場合も多く、その後の迅速で適切な対応が重要）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

12

❸ 脆弱性を突く攻撃
コンピューティングは、世界の社会基盤と言えるものになっています。しかも、その進化はものすごく、それがこの世界を現在のように便利にしてきました。しかし、そのスピードを維持するためには、システムの更新を高頻度で実行しなければなりません。また、システム自体も高機能であること（≒大容量）が普通になっています。そして、それを実現するために現在のシステムは、多くの部品化されたソフトウェアの集合体になっており、その部品毎の更新が数多く発生してしまうのです。
また、システムの脆弱性は極めて重大な危機を招くことがあります。なぜなら、その脆弱性が深刻なものであれば、幾重にも重ねられた堅固なセキュリティ対策を簡単に無効化するからです。そのため、公開された脆弱性への対応は攻撃者とのスピード勝負とならざるを得ません。

脆弱性の公開を認識したら、その瞬間から対応済となるまで攻撃者と競走が続きます（なお、未知の脆弱性を衝く攻撃（ゼロデイ）は、この対応プロセスとは別次元として考えるべき）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

13

対な
応ぜ
が、
脆
重弱
要性
な公
の
か開
？時
の
© 2022 VeriServe Corporation

１．致命的なリスクになりやすい
脆弱性が公開された場合、その瞬間からシステムを利用するユーザーすべてが攻撃者のターゲットになります。しかも、攻撃される理由は「脆弱性に未対応だから」というたった1つの要因だけで十分なのです。

２．セキュリティ対策が無効化されやすい
脆弱性はセキュリティホールとも呼ばれます。脆弱性は、その種類にもよりますが、その「ホール（穴）を攻撃者が簡単に通れてしまう」ことで、多くのリソースをかけたセキュリティ対策のすべてを無効化してしまう可能性を持っており、もっとも重要な機密情報が窃取される可能性があります。

３．パッチ適用ができれば対策が済む
他のサイバー攻撃は正直、イタチごっこの様相で対策済となることはあまりありません。その一方、脆弱性はパッチ適用などの対応ができれば、「対策済」となります。つまり、迅速に都度対応が可能になれば、脆弱性を衝く攻撃は確実に防ぐことができます。

会社名・製品名・サービス名は、各社の登録商標または商標です。

14

な
ぜ
、
脆
弱
性
公
開
時
の
対
応
が
重
要
な
の
か
？

最大のポイントはこの３つ目です。
１．危機的なリスクになりやすい
２．セキュリティ対策が無効化されやすい

３．パッチ適用ができれば対策が済む© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

15

脆弱性の公開後の対応は、テレビのバラエティ番組でよく見た「あのゲーム」にすごく似ています。それが何かと言うと・・・© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

16

「叩いてかぶって、じゃんけんぽん！」© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

17

じゃんけんに負けた瞬間が脆弱性の公開タイミング

ヘルメットがセキュリティパッチの適用© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

スピード
勝負

ハンマーが攻撃者のエクスプロイト18

１．なぜ、脆弱性の公開時の対応が重要なのか？（まとめ）脆弱性を衝く攻撃は、このゲームでヘルメットを被る要領でパッチ適用ができれば、確実に防御することができる（対策済）攻撃手法なのです© 2022 VeriServe Corporation

19

❷
ア難
ッし
プい
デシ
ース
トテ
ム
の
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

20

２．難しいシステムのアップデート

システム管理やセキュリティ管理、脆弱性の管理業務に携わった事が無い方は、「なぜ、更新ができない？」ということを不思議に思うことが少なくないと思います。しかし、実際の所・・・© 2022 VeriServe Corporation

21

システムが止めれられない重要なシステム
であればあるほど、その更新は難しいと言えます。

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

22

システムの重要度で更新の難易度が変わる【クライアント端末等の場合】
一般の端末は、統合管理を行う場合はシステム環境がいくつかのパターンで落ち着く場合が多く、自動化に近い更新も可能。また、もし不具合があっても非常に限定的な範囲になるので、そうなった場合でもリスクは低い。

【一般的なサーバーの場合】
一般的なサーバーの更新は、特殊な環境である場合を除けば、リスクは限定的。それでも、サーバーダウンによる業務への影響範囲は、クライアント端末とは比較にならず、事前検証や深夜のような利用の少ない時間帯の実施が一般的となる。

【ミッションクリティカルなシステムの場合】
ミッションクリティカルなシステムは、止めることが許されない。システ
ム停止は数億円やそれ以上の機会損失等のリスクが伴う。そのため、綿密なシステムの把握と管理の仕組みを整え、さらに入念な事前検証プロセスを経た上での対応が必須となる。
画数の多い（57画）複雑な漢字として有名な、びゃんのイラスト© 2022 VeriServe Corporation

23

２．難しいシステムのアップデート（まとめ）ミッションクリティカル業務を担う重要なサーバーは、複雑な構成になりがち・・・。
また、止められないサーバーのため、速さを求められつつ綿密な検証作業が必須© 2022 VeriServe Corporation

24

❸
「「
Ｓ米
Ｂ国
Ｏの
Ｍ大
」
統
領
令
」
と
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

25

米国の大統領令
2021年5月12日に、米国のバイデン大統領が「国家のサイバーセキュリティ改善に関する大統領令」に署名しました。ここには、以下のような連邦政府および連邦政府と連携する民間業者が満たす7つのセキュリ
ティ基準が明記されています。

【国家のサイバーセキュリティ改善に関する大統領令の全11条】❶ 方針❷ 脅威情報を共有するための障害を取り除く❸ 連邦政府のサイバーセキュリティの近代化❹ ソフトウェア・サプライチェーン・セキュリティの強化❺ サイバー安全審査会の設置❻ サイバーセキュリティの脆弱性とインシデントに対応するための連邦政府のプレイブックの標準化❼ 連邦政府のネットワークにおけるサイバーセキュリティの脆弱性およびインシデントの検出の改善❽ 連邦政府の調査能力および修復能力の向上❾ 国家安全保障システム❿ 用語の定義⓫ 一般規定© 2022 VeriServe Corporation26

条文のタイトルだけでは分からないと思いますので、私が感じたポイントを抜粋してご説明します。
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

27

米国の大統領令の記載内容（抜粋）なかなか高難易度の要求をしている大統領令
ゼロトラストアーキテクチャーの導入（境界防御の仕組みはそろそろ本気で卒業した方が良い…のは分かるのですけど）情報共有の強化（情報共有自体はよく見る内容ですが、インテリジェンス含めて組織の壁を超えるという要件の付加が悩み所）

脅威と脆弱性の継続監視（これは先述した「攻撃者絶対優位」の状況をなんとかするためにも必須だったりしますね・・・）

インシデント対応能力の向上（「はい、そうだと思います！」ただ、多種多様なサイバー攻撃に対応できる能力ってどうすれば向上できるのか？）© 2022 VeriServe Corporation28

「それが言われてできたら、とっくにやってるわ！」
な得そこサとのなのとイいだいたをバうととめ平ー反思い、気攻論
撃も
わうそ
で
を、
れのれ
や
まがをっすも承っす、残知てると。念 来側も
で も
な
な言ま
す
がわ 高の
らざ。いで
現る 難す
状を 度が
の、
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

29

サイバー攻撃は、米国だけの問題ではありません。
（そして、日本政府もこの大統領令と同様の方針を示すはずです）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

30

そして、本セッションの本題となる重要な内容がコレです。

ＳＢＯＭ（ソフトウェア部品表）（ソフトウェア部品表）●SBOMとは？
SBOMとは、ソフトウェアがどのような構成要素（モジュール、ライブラリなど）から成り立っているかを一覧できるリスト。製造業の部品表（BOM：Bill Of Materials）をソフトウェアに適用したもの。
出典：IT用語辞典「e-word」© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

31

SBOMのざっくり解説
製造業には、製造した完成品の品質管理を高レベルにするために、部品の1つ1つまで緻密に管理する必要がある。それを管理するためにBOM（部品表）がある。BOMには、その部品を構成する最も小さなネジのような部品まで網羅されており、階層的に管理されている。このBOMのソフトウェア版がＳＢＯＭと言えます。
製造業の重い製造業は部品1つずつの管理を徹底

BOMは、部品の階層的な管理が可能
ソフトウェアサプライチェーンのリスク
SBOMで部品化されたソフトウェアの管理© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

32

SBOMの導入が必要となる理由
SBOMの導入が必要となる理由（≒メリット）は大まかに以下の３つだと言えます。

製品に含まれるコンポーネント情報が明確になる（完成品の部品レベルの透明性が確保できる）

ソフトウェアコンポーネントの依存関係が把握できる（把握することでソフトウェアサプライチェーンの追跡可能性が高まる）

サプライチェーンのリスク管理がしやすい（ソフトウェアの「脆弱性管理」「ライセンス管理」「EOL（EOS）管理」ができる）© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

33

SBOMとは何か？

セキュリティ分野のNEXTバズワードなどと注目され始めた
SBOMとはどんなものかを見てみましょう！
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

34

実際のＳＢＯＭ## Package Information
PackageName: XXXアプリケーション
SPDXID: SPDXRef-1
PackageVersion: 1.0.0
PackageSupplier: Organization: 株式会社ベリサーブ
PackageDownloadLocation: NOASSERTION
FilesAnalyzed: false
PackageLicenseConcluded: NOASSERTION
PackageLicenseDeclared: NOASSERTION
PackageCopyrightText: <text>NOASSERTION</text>## Package Information
PackageName: XXXSPDXID: SPDXRef-2
PackageVersion: 20220601
PackageSupplier: Organization: 株式会社XXX
PackageDownloadLocation: NOASSERTION
FilesAnalyzed: false
PackageLicenseConcluded: NOASSERTION
PackageLicenseDeclared: NOASSERTION
PackageCopyrightText: <text>NOASSERTION</text>## Package Information
PackageName: Django
SPDXID: SPDXRef-3
PackageVersion: 2.2.26
PackageSupplier: Organization: PyPI
PackageDownloadLocation: NOASSERTION
FilesAnalyzed: false
PackageLicenseConcluded: NOASSERTION© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

PackageLicenseDeclared: NOASSERTION
PackageCopyrightText: <text>NOASSERTION</text>## Package Information
PackageName: sqlparse
SPDXID: SPDXRef-4
PackageVersion: 0.4.2
PackageSupplier: Organization: PyPI
PackageDownloadLocation: NOASSERTION
FilesAnalyzed: false
PackageLicenseConcluded: NOASSERTION
PackageLicenseDeclared: NOASSERTION
PackageCopyrightText: <text>NOASSERTION</text>## Relationships Between SPDX Elements Information
Relationship: SPDXRef-1 DEPENDS_ON SPDXRef-2
Relationship: SPDXRef-1 DEPENDS_ON SPDXRef-3
Relationship: SPDXRef-3 DEPENDS_ON SPDXRef-4※これはSPDX tag:value形式（一部省略）のSBOMです。

35

ソフトウェアの部品表（管理台帳）
これが現実です。セキュリティ業界は「事件」「事故」「バズワード」で拡大してきました。そして、次のバズワードはＳＢＯＭだと言われ始めています。しかし、先述のようにＳＢＯＭはソフトウェアの部品表であり、管理台帳です。

つまり、SBOMは「銀の弾丸」のように
尋常ではない効果を発揮する画期的なソリューションだという訳ではありません。
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

36

SBOMは、ソフトウェアの構成要素の可視化
SBOMの最大の特徴は、ソフトウェアの内部を部品レベルまで可視化することです。
今や、サイバー攻撃の猛威は、ソフトウェアの構成要素のすべてを把握することを要求されるかなり過酷な状況にみなさんを追い込んでいます。

コンピュータネットワークを可視化した電脳世界にダイブした男性のイラスト© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

製造業が自社製品の販売の際に負う重い責任を、インターネットに接続されるシステムのほとんどに要求される現在のセキュリティ対策

37

３．「米国の大統領令」と「SBOM」（まとめ）＜システムの脆弱性管理SBOMが必要になる理由＞
ユーザー

攻撃

ソフトウェアサプライチェーンのリスクへの対応

完成品⇒

脆弱性対応のスピード向上
部品⇒

部品の
部品⇒
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

現代のシステムは、社会基盤と言っても過言ではないレベルになっています。そのため、複雑かつ高機能なものが必要とされています。
しかし、そのシステム規模に反して、開発期間は非常に短くなってきています。そして、それが実現できるのは、ソフトウェアサプライチェーンと呼ばれるシステムに内包されるソフトウェアの部品化のおかげです。
そのため、システム管理にも製造業と同じような部品表をベースとした
緻密な管理が必要となっています。そのため、SBOMが必要ということが米国の大統領令にも明記されたのです。
38

❹
Ｓ日
Ｂ本
Ｏ市
Ｍ場
導
に
入
お
のけ
動
る
向
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

39

４．日本市場におけるSBOM導入の動向
それでは、日本でのSBOMの導入については、どのようになっているでしょうか。米国は、セキュリティ対策
では日本よりはるかに進んでいます。その米国市場でさえ、SBOMは本格的な導入が進んでいるわけではなく、遅れている日本市場はまだまだこれから・・・だと思われるかも知れません。

SBOM導入の推進状況

先進的な米国© 2022 VeriServe Corporation

遅れる日本

40

日本市場でもSBOM導入はそれなりに進んでいます© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

41

ただし、まだ試行的なSBOM導入の場合がほとんどです。
SBOM導入企業の比率

ITベンダー

17%
製造業

83%

SBOM試行導入をしている業種は、現時点では「製造業」と「ITベンダー」の２つしかありません。
そして、その中でも製造業の割合が８０％を超えています。これは、製造業がSBOMの本家とも言える
BOM（部品表）を作成することを既に業務プロセスとして実施していたためだと思われます。
また、これは日本のものづくりの品質管理の仕組み
がセキュリティ対策にも有効に機能するということを示しているとも言えます。

日本の「ものづくり」の経験がSBOMが必要という判断をさせた（米国大統領令と直結はしない）［2022年7月現在／当社調べ］
ベリサーブからSBOMツールを導入したユーザーの比率© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

42

４．日本市場におけるSBOM導入の動向
日本市場では、まだまだ試行的な導入の多いSBOMですが、導入目的のほとんどはＯＳＳに限定したライセンス管理と脆弱性対応です。なぜなら、OSSは商用ソフトウェアよりもベンダーのサポートが少ない
ことが多く、自主管理する必要があるからです。

ＳＢＯＭ
導入の目的

ＯＳＳのライセンス
および脆弱性の管理

ＯＳＳは自由に利用できるソフトウェアである反面、自主管理しなければならないのが最大の特徴でもあります© 2022 VeriServe Corporation

43

SBOMは、OSS管理専門の仕組みではありません
本来はすべてを管理したい

ＯＳＳ© 2022 VeriServe Corporation＋ 商用ソフトウェア ＋ 専用開発コード

会社名・製品名・サービス名は、各社の登録商標または商標です。

44

OSS管理が先行している理由❶OSSは利用者が非常に多い⇒攻撃者からすると、１つのエクスプロイトでたくさんの対象を攻撃できるため、より被害を受ける確率が高い。

❷製造業・開発部門の利用が多い⇒SBOMを先行的に導入している製造業の開発部門は、OSSを積極的に活用している確率が高い。

この２つが現状の日本市場のSBOM導入している実態だと言えます。
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

45

このようなSBOM利用はあくまで「限定（試行）利用」です。その次は確実に、本格利用が控えています© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

46

すでに、米国はソフトウェアサプライチェーンのリスクに対してサイバー攻撃への対策の強化と共にSBOMの導入が必要との判断しました。この流れに数年遅れて日本政府と市場が追随していくのはこの数十年で何度もあった定番の流れです。

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

47

［ソフトウェアサプライチェーンのリスク対策としてSBOMが日本市場で普及する理由］
脆
弱
性
は
、
本
丸
に
直
接
届
く
攻
撃
に
な
り
や
す
い
© 2022 VeriServe Corporation

シ
ス
テ
ム
は
階
層
的
な
部
品
化
に
よ
り
複
雑
化

シ
ス
テ
ム
は
ブ
ラ
ッ
ク
ボ
ッ
ク
ス
と
な
り
管
理
不
能

会社名・製品名・サービス名は、各社の登録商標または商標です。

ソ
フ
ト
ウ
ェ
ア
サ
プ
ラ
イ
チ
ェ
ー
ン
の
リ
ス
ク
を
認
識

「
Ｓ
Ｂ
Ｏ
Ｍ
」
で
可
視
化
さ
れ
た
シ
ス
テ
ム
は
制
御
可
能

制
御
さ
れ
た
シ
ス
テ
ム
は
素
早
い
脆
弱
性
対
応
が
可
能

管
理
不
能
の
ま
ま
の
企
業
・
組
織
の
被
害
で
拡
大
48

４．日本市場におけるＳＢＯＭ導入の動向（まとめ）日本でも、すでに製造業・開発部門でＳＢＯＭ導入多数（製造業でのBOM（部品表）の運用実績に裏付けられたもの）

米国に追随する日本市場でもＳＢＯＭが普及すると予測（日本政府の動きにもよるが、情報システム部門も十分対象になり得る）

ＳＢＯＭによって脆弱性公開時の対応スピードを向上（対応の遅れや放置が減少し、脆弱性を衝く攻撃の効率が悪化する）© 2022 VeriServe Corporation

49

❺
ま
と
め

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

50

ベリサーブだからできる

ＳＢＯＭ導入とセキュリティ対策

ベリサーブは、「第三者検証」とも呼ばれるソフトウェアテストの企業です。サービスをご提供してきたお客様のほとんどは、製造業の開発部門の方々です。そして、それらのお客様へ当社のソフト
ウェア品質を追求しながらサービスを提供してきました。
そのため、すでにたくさんのSBOM導入（現状の管理対象はほぼOSS）の実績があります。この実績に基づくスムーズなSBOM導入と共に当社の特徴的な品質管理の知見を基に様々なセキュリティ対策をご提供していきます。
ソフトウェアテスト（検証）によって、主に製造業のお客様の品質向上に寄与してきた絶対的な経験値がベリサーブの最大の強み
技術の応用

膨大なソフトウェアテストで培った品質向上の知見によって、システム自体を堅固にすることによるセキュ
アなシステム構築を目指します© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

51

ベリサーブのお客様© 2022 VeriServe Corporation52

最後に・・・© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

53

脆弱性への対応を「叩いてかぶって、じゃん
けんぽん！」に例えましたが、残念ながらセキュリティ対策で勝つことはありません

つまり・・・© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

54

「じゃんけんは全敗」が前提
それでも、その気の遠くなるような作業を綿密な事前準備で対応することで粛々と遂行しなければなりません© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

55

（じゃんけんは全敗でも）勝負には負けないためにＳＢＯＭが必要というのを、世界で最も影響力のあるこの人物が仰っているということが現状の深刻度の裏付けかもしれません・・・。

© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

56

セキュリティ分野で次のバズワードとして注目され始めた「SBOM」とは？

ご清聴ありがとうございました。
© 2022 VeriServe Corporation

会社名・製品名・サービス名は、各社の登録商標または商標です。

57