サプライチェーン攻撃とSBOMとは？
サプライチェーン攻撃とSBOMとは、標的そのものではなく、取引先や委託先、利用しているソフトウェア部品を経由して侵入する攻撃。対処には、自社製品がどの部品をどの版で含むかを一覧化した部品表（SBOM）を整備し、脆弱性の公表時に影響範囲を即座に特定できる状態を作ることが求められる。
応用情報技術者試験の過去問では2回出題されています（2024年度〜2025年度）。
さぷらいちぇーんこうげきとえすぼむ
サプライチェーン攻撃とSBOMの意味
標的そのものではなく、取引先や委託先、利用しているソフトウェア部品を経由して侵入する攻撃。対処には、自社製品がどの部品をどの版で含むかを一覧化した部品表（SBOM）を整備し、脆弱性の公表時に影響範囲を即座に特定できる状態を作ることが求められる。
サプライチェーン攻撃とSBOMの具体例
広く使われるライブラリに重大な脆弱性が公表された際、SBOMがあれば該当製品と稼働環境を数時間で洗い出せる。無ければ全システムのソースを調べることになり、対応が数週間に延びる。委託先には契約でセキュリティ要件と報告義務を課す。
サプライチェーン攻撃とSBOMは試験でどう引っ掛けられる？
攻撃対象は大企業でも、侵入口は防御の手薄な中小の取引先になる。自社の対策水準だけを見ても守れない点が要点。またSBOMは脆弱性を減らす道具ではなく、影響範囲の特定を速くする道具である。
サプライチェーン攻撃とSBOMと関連する用語
サプライチェーン攻撃とSBOMが出た過去問
ソフトウェアのセキュリティ管理に使用されるSBOMはどれか。
正解：ソフトウェアを構成するコンポーネント、相互の依存関係などをリスト化した一覧
要点：SBOMはソフトウェアの構成部品と依存関係の一覧（部品表）
SBOM（Software Bill of Materials）は、ソフトウェアを構成する部品、つまり利用しているライブラリやコンポーネントとそのバージョン、依存関係を一覧にしたものである。脆弱性が公表されたとき、自社製品に影響するかを迅速に判断できるようにすることが主な狙いである。
出典：令和6年度 秋期 応用情報技術者試験 午前 問43（IPA）ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。
正解：ソフトウェアについての脆弱性管理
要点：SBOMは構成部品一覧で、脆弱性の影響範囲を素早く特定する
SBOMはソフトウェアを構成する部品（ライブラリやコンポーネント）とそのバージョン、依存関係を一覧化したものである。これを管理しておくと、新たな脆弱性が公表されたときに、影響を受ける製品や箇所を素早く特定できる。したがって用途の中心はソフトウェアの脆弱性管理である。
出典：令和7年度 春期 応用情報技術者試験 午前 問40（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。