製品リリースにわたるSBOMの保守
Sytance · 更新日
SBOMは、記述対象のソフトウェアリリースに関連付けた状態で維持する必要があります。ソフトウェア更新によってコンポーネントが変わる場合があります。一方、SBOMの訂正は、ソフトウェアを変更せずに情報だけを修正することがあります。両方のバージョンを記録しておけば、顧客に提供したものと、それを正確に記述するインベントリを特定できます。
各インベントリが記述するソフトウェア
SBOMを生成する時点を、ビルドまたはリリースプロセスの中で再現可能な形で定めてください。インベントリを再現または調査するために必要なソースリビジョン、解決済み依存関係、ビルド構成、最終成果物の識別情報を保持します。
CycloneDXのガイドでは、ソースコードから、ビルド中に、また運用中に生成されるインベントリを区別しています。これらの段階では、含まれるソフトウェアが異なる場合があります。どの段階のものかを明記すれば、宣言された依存関係、ビルド結果、または導入済みソフトウェアのどれをSBOMが記述しているか、受領者に伝わります。
ゲートウェイの場合、アプリケーションのビルド、ベースイメージ、提供されたファームウェアコンポーネントの情報を組み合わせます。各サプライヤーのSBOMとの関連を維持してください。ゲートウェイが利用するクラウドサービスには、独自のリリース周期に応じた別のインベントリが必要となる場合があります。
リリース間のコンポーネント変更
リリース間の比較により、追加、削除、アップグレード、再ビルドされたコンポーネントと、変更された依存関係経路を確認できます。コンポーネント数だけでは置き換えを見逃すことがあります。1つのライブラリを削除して別のライブラリを追加しても、合計数は変わらない場合があるためです。
比較には正規化した識別情報を使いながら、元のバージョンと識別子も保持してください。ツールが以前は不明だったパッケージを認識するようになった場合、可視性の向上と実際のソフトウェア変更を区別します。
- 追加または削除されたコンポーネントと、それらの親依存関係の経路。
- バージョン変更、下流で適用されたパッチ、成果物ハッシュの変更。
- ライセンス申告またはコンポーネントの開発元の変更。
- 新たに判明した情報の欠落、訂正された識別子、サプライヤーSBOMの改訂。
リリース前の確認
まずファイルを形式のバージョンに照らして検証し、次に内容の意味を確認してください。すべての参照先が解決できること、ルート製品が対象リリースであること、受領者がリンクされた各コンポーネントSBOMにアクセスできることを確認します。
候補リリースに対して脆弱性とライセンスを確認し、その結果を当該リリースに関連付けて記録します。新たに見つかった優先度の高い問題には、対応方針の判断が必要です。コンポーネントのバージョンや運用上の前提条件が変わった場合は、既存の例外も再確認します。
承認済みの成果物、SBOM、ビルド参照情報、レビュー結果を一緒に保管します。署名を使用する場合は、署名を検証し、想定した発行者のものであることを確認してください。
既存SBOMの訂正
2026年の共同SBOMガイダンスは、ソフトウェアの各バージョンまたは更新に対するSBOMの作成と、誤りの訂正時または新たなコンポーネント情報が判明した際の改訂版SBOMの作成を求めています。また、情報が不明である場合と、意図的に非開示とする場合を区別しています。
たとえば、ファームウェアのバイト列は変わらないまま、サプライヤーがコンポーネントの開発元を訂正することがあります。ファームウェアの識別情報を維持したまま、新しいSBOM改訂版を発行し、訂正内容を説明して以前の文書も保持してください。これにより、受領者はデータの訂正とソフトウェア更新を区別できます。
合意した配布チャネルで更新版を公開してください。固定されたランディングページから最新改訂版を案内し、変更できないファイルで履歴を保持できます。以前の改訂版に代わるものを受領者が識別できることを確認してください。
サポート対象リリースの新たな脆弱性
アドバイザリーを受け取ったら、サポート対象のリリース全体からコンポーネント識別情報を検索します。影響を判断する前に、実際のビルドと製品の用途を確認してください。コンポーネントインベントリは脆弱性評価と分けて維持し、新しい情報が得られた際に同じSBOMを再評価できるようにします。
ゲートウェイのリリース1.0に影響を受けるライブラリが含まれ、リリース1.1でそのライブラリが削除されたとしても、新リリースによって導入済みの1.0デバイスの構成が変わるわけではありません。チームは引き続きそれらのデバイスへの対応を行い、アドバイザリーまたはVEXの対象バージョンを正確に記録する必要があります。
サプライヤー更新の維持、影響評価、対応の承認、情報伝達の担当者を合意してください。次回の定期リリースだけに依存せず、製品のサポート義務と新情報の重大度に応じてレビュー時期を定めます。
記録の保管と引き継ぎ
サポート終了時には、リリースとSBOMの対応関係、および過去の納品内容を説明するために必要な判断を保持してください。適切な機密記録へのアクセス制限を設けながら、認可された受領者が約束された情報を取得できる状態を維持します。
引き継ぎでは、新しい保守担当者が製品バージョンに対応するインベントリを見つけ、コンポーネントを特定し、最新の影響評価を確認できる必要があります。サポート対象リリースを1つ選んで手順を確認すると、記録やアクセス権限の不足を見つけやすくなります。