SBOMとは？えすぼむ
SBOMとは、ソフトウェアを構成する部品（OSSライブラリ等）とそのバージョン、依存関係を機械可読な形式で列挙した一覧。新たな脆弱性が公表されたときに、影響を受ける製品・システムを短時間で特定できる。
最終更新：2026-10-06
この語が出る過去問を解く →具体例
SPDXやCycloneDXが代表的な記述形式。広く使われるログ出力ライブラリに重大な脆弱性が見つかった際、SBOMがあれば影響調査が大幅に速くなる。
試験での引っ掛け
「SBOMを整備すれば脆弱性が分かる」は誤り。SBOMは部品とバージョンの一覧にすぎず、CVEやJVNの脆弱性情報と突き合わせて初めて影響の有無が判明する。また記載されるのは構成部品であって、その部品が実際に呼び出されているか（到達可能性）までは分からないため、SBOMの一致がそのまま「脆弱」を意味しない。
関連用語
出た過去問
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA）
ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。
正解：ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト
要点：SBOMは構成部品と依存関係の一覧で影響調査を速める
SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。
出典・参考
公式シラバスの4 開発技術 ＞ 4. 構成管理・変更管理 ＞ (1) 構成管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。