ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問17 SBOM とは

情報処理​安全確保​支援士 令和6年度 春期 午前II、全25問のうちの問17。

出典：令和6年度 春期 情報処理安全確保支援士試験 午前II 問17（ふりがなを省いた）

ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM（Software Bill of Materials）はどれか。

  1. アソフトウェアの脆弱性に対する，ベンダーに依存しないオープンで汎用的な深刻度の評価方法
  2. イソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス，組織体制などをまとめたガイドライン
  3. ウソフトウェアを構成するコンポーネント，互いの依存関係などのリスト
  4. エ米国の非営利団体 MITRE によって策定された，ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準
答えと解説を開く

正解はウです。

今のソフトウェアは、多くのオープンソースのライブラリなどの部品を組み合わせて作られています。SBOM は、その部品の名前、版、提供元、部品どうしの依存関係を一覧にした物で、ソフトウェアの部品表にあたります。ある部品に脆弱性が見つかったとき、SBOM があれば、自分たちのどのソフトウェアがその部品を使っているかをすぐに調べられます。正解はウです。

ほかの選択肢が違う理由

  • アベンダーに依存しない、オープンで汎用的な深刻度の評価方法は、CVSS の説明です。
  • イセキュリティアップデートを行うときの管理のプロセスや組織の体制をまとめた文書は、ガイドラインの説明で、部品の一覧である SBOM とは違います。
  • エMITRE が策定した、ソフトウェアの弱点の種類を識別するための基準は、CWE の説明です。

仕組み

SBOM は作って終わりではありません。新しい脆弱性の情報と SBOM を突き合わせ、影響を受ける部品を見つけて更新する、という流れに組み込んで初めて役に立ちます。

SBOM には、SPDX や CycloneDX といった決まった書き方があります。ビルドのときに道具で自動的に作ると、手で書くより漏れが少なくなります。

この問に出る言葉