SBOMとは？
SBOMとは、ソフトウェアを構成する部品（OSSライブラリ等）とそのバージョン、依存関係を機械可読な形式で列挙した一覧。新たな脆弱性が公表されたときに、影響を受ける製品・システムを短時間で特定できる。
情報処理安全確保支援士試験の過去問では1回出題されています。
えすぼむ
SBOMの意味
ソフトウェアを構成する部品（OSSライブラリ等）とそのバージョン、依存関係を機械可読な形式で列挙した一覧。新たな脆弱性が公表されたときに、影響を受ける製品・システムを短時間で特定できる。
SBOMの具体例
SPDXやCycloneDXが代表的な記述形式。広く使われるログ出力ライブラリに重大な脆弱性が見つかった際、SBOMがあれば影響調査が大幅に速くなる。
SBOMは試験でどう引っ掛けられる？
「SBOMを整備すれば脆弱性が分かる」は誤り。SBOMは部品とバージョンの一覧にすぎず、CVEやJVNの脆弱性情報と突き合わせて初めて影響の有無が判明する。また記載されるのは構成部品であって、その部品が実際に呼び出されているか（到達可能性）までは分からないため、SBOMの一致がそのまま「脆弱」を意味しない。
SBOMと関連する用語
SBOMが出た過去問
ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。
正解：ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト
要点：SBOMは構成部品と依存関係の一覧で影響調査を速める
SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。
出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問17（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。