SBOMの説明｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問43
出典：令和6年秋期 午前 問43
分野：セキュリティ ／ 情報セキュリティ対策
ソフトウェアのセキュリティ管理に使用されるSBOMはどれか。
- ア：セキュリティアラートやログを集約，分析し，潜在的な脅威を見つけるシステム
- イ：組織内にあるソフトウェアを含むIT資産をリスト化したデータベース
- ウ：組織のソフトウェアのセキュリティ脆弱性と設定ミスを特定，評価，処理，報告するためのプロセス，ツール，戦略
- エ：ソフトウェアを構成するコンポーネント，相互の依存関係などをリスト化した一覧
TSUNAGARU-ADVICE
まず押さえたいこと
SBOM（Software Bill of Materials）は、ソフトウェアを構成するライブラリやモジュールなどのコンポーネントと、その依存関係を一覧化したものです。どの部品が使われているかを把握することで、脆弱性が見つかったときに影響を受けるソフトウェアを特定しやすくなります。
迷ったときの判断軸
SBOMは組織全体のIT資産台帳ではなく、特定のソフトウェアの中身を構成要素単位で可視化する一覧です。また、ログを集約・分析する仕組みや、脆弱性管理そのもののプロセスとも区別しましょう。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、SBOMをソフトウェアサプライチェーンの脆弱性管理と結び付けて理解しましょう。利用中のコンポーネントを把握しておけば、新たな脆弱性が公開された際に影響範囲を迅速に確認し、更新や対策の優先順位を判断できます。
SBOM（Software Bill of Materials）は、ソフトウェアを構成するライブラリ、モジュールなどのコンポーネントや、それらの依存関係を一覧化したものです。
どのソフトウェア部品が含まれているかを把握できるため、新たな脆弱性が発見されたときに、影響を受けるソフトウェアを迅速に特定する用途などで活用されます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：セキュリティアラートやログを集約，分析し，潜在的な脅威を見つけるシステム
⇒SIEMの説明です。複数の機器やシステムからログを収集・分析し、セキュリティ上の異常や脅威を検知します。
イ：組織内にあるソフトウェアを含むIT資産をリスト化したデータベース
⇒IT資産管理に関する説明です。SBOMは組織全体のIT資産ではなく、個々のソフトウェアを構成する部品を一覧化します。
ウ：組織のソフトウェアのセキュリティ脆弱性と設定ミスを特定，評価，処理，報告するためのプロセス，ツール，戦略
⇒脆弱性管理の説明です。SBOMそのものは脆弱性を処理するプロセスではなく、ソフトウェアの構成要素を可視化するための一覧です。