SBOM｜科目A-1（応用情報技術者） 令和7年 春期午前試験 問40
出典：令和7年春期 午前 問40
分野：セキュリティ ／ 情報セキュリティ対策
ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。
- ア：ソフトウェアでの利用者認証に用いるアカウントの一元管理
- イ：ソフトウェアについての脆弱性管理
- ウ：ソフトウェアのソースコードについてのバージョン管理，アクセス制御及び改ざん防止
- エ：ソフトウェアのソースコードのバックアップとマルウェア混入防止
TSUNAGARU-ADVICE
まず押さえたいこと
SBOMは、ソフトウェアを構成するライブラリ、パッケージ、モジュールなどを一覧化したソフトウェア部品表です。利用している部品とそのバージョンを把握できるため、既知の脆弱性が含まれていないかを確認する脆弱性管理に活用できます。
迷ったときの判断軸
SBOMが管理するのは、アカウントやソースコードそのものではなく、ソフトウェアに含まれる構成要素です。脆弱性情報と照合することで、影響を受ける製品や部品を素早く特定できます。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、SBOMをサプライチェーンリスク対策と結び付けて理解しましょう。脆弱性が公表された際に、対象部品の有無を確認し、修正や更新の優先順位を判断する場面につながります。
SBOMは、ソフトウェアを構成する部品を一覧化したものです。使用しているOSS・ライブラリ・パッケージ・それぞれのバージョンや依存関係などを把握できます。
SBOM管理ツールを使うと、ソフトウェアに含まれる部品と、公開されている脆弱性情報を照合できます。そのため、影響を受けるソフトウェアや部品を特定し、修正や更新の要否を判断する脆弱性管理に活用できます。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：ソフトウェアでの利用者認証に用いるアカウントの一元管理
⇒アカウントの一元管理は、ID管理システムやディレクトリサービスなどで行います。SBOMはソフトウェア部品を管理する仕組みであり、利用者アカウントを管理するものではありません。
ウ：ソフトウェアのソースコードについてのバージョン管理，アクセス制御及び改ざん防止
⇒ソースコードのバージョン管理やアクセス制御には、Gitなどのバージョン管理システムを用います。SBOMはソースコードそのものの変更履歴やアクセス権を管理するものではありません。
エ：ソフトウェアのソースコードのバックアップとマルウェア混入防止
⇒ソースコードのバックアップはバックアップシステムで行い、マルウェア混入防止にはマルウェア対策や開発環境の保護などを用います。SBOMは構成部品を可視化するものであり、バックアップやマルウェア検知を直接行うものではありません。