サイバーセキュリティのためのソフトウェア部品表（SBOM）の最小要素に関する国際ガイダンスに共同署名しました

2026年7月30日

内閣官房国家サイバー統括室 同時発表

経済産業省及び内閣官房国家サイバー統括室は、本日、ソフトウェアの脆弱性管理等におけるSBOM（ソフトウェア部品表）の最小要素に関する国際ガイダンス"2026 Minimum Elements for a Software Bill of Materials （SBOM）"（以下「本ガイダンス」という。）に共同署名しました。
本ガイダンスは、2021年7月に米国商務省国家電気通信情報庁（NTIA）が公表したSBOMの「最小要素（SBOM生成のデータフィールド並びにプラクティス及びプロセスに関する多様な事項のうち、準拠が推奨される事項）」の定義に関する文書"The Minimum Elements For a Software Bill of Materials"を、最新のIT技術やSBOM生成環境を考慮し、 2025年8月に、米国サイバーセキュリティ・インフラ安全庁（CISA）が草案文書を公表した後に、SBOM作成に関する議論に関心を持つ国・地域による議論を経て発刊された国際ガイダンスです。
我が国としても積極的に議論に参加した結果、経済産業省が策定した「ソフトウェア管理に向けた SBOM（Software Bill of Materials）の導入に関する手引ver 2.0」がSBOM導入を支援するための各国の事例として本ガイダンスの中で紹介されました。

近年、ソフトウェアの脆弱性管理に関し、ソフトウェアの開発組織と利用組織双方の課題を解決する一手法として、「ソフトウェア部品表」とも呼ばれるSBOM（Software Bill of Materials）を用いた管理手法が注目されています。米国サイバーセキュリティ・インフラ安全庁（CISA）等が策定し、内閣官房国家サイバー統括室（当時：内閣官房内閣サイバーセキュリティセンター）も共同署名をした「セキュアバイデザイン・セキュアバイデフォルト原則に関する文書の改訂版」では、セキュア・バイ・デザイン（IT 製品（特にソフトウェア）が、設計段階から安全性を確保されていること）の考え方においては、ソフトウェアの製造業者が製品ごとにSBOMを生成・管理し、ユーザーがSBOMを利用できるようにすることが奨励されています。

2025年9月に、SBOMの国際ガイダンス第一弾として、SBOMの概要やSBOM活用の重要性について各国の共通認識を整理した 「サイバーセキュリティのためのソフトウェア部品表（SBOM）の共有ビジョンに関する国際ガイダンス」が発刊され、経済産業省は、国家サイバー統括官室とともに、共同署名しています。

2021年7月に、米国商務省の電気通信情報局（NTIA）がSBOM の「最小要素」の定義に関する文書を公表して以降、ソフトウェア・サプライチェーンの透明性におけるSBOMの役割は国際的にも認識され、2025年8月に、米国サイバーセキュリティ・インフラ安全庁（CISA）は、SBOMツール及び技術の進展に伴い、SBOMの「最小要素」を更新した草案文書を公表しました。

今般、 SBOMの「最小要素」の草案文書を踏まえ、 SBOMの国際的な普及・促進に資する、本ガイダンス作成に経済産業省としても賛同し、作成のための議論に参加した諸外国・地域の共同署名機関とともに、SBOM の「最小要素」の定義に関する文書の改訂版となる本ガイダンスに署名しました。

我が国としても積極的に議論に参加した結果、経済産業省が策定した「ソフトウェア管理に向けた SBOM（Software Bill of Materials）の導入に関する手引ver 2.0」が、SBOM導入を支援するための各国の事例として本ガイダンスの中で紹介されました。

本ガイダンスの中では、欧州連合のサイバーレジリエンス法（Cyber Resilience Act）は、デジタル要素を有する製品の製造者に対し、規制当局へのSBOMの提供を義務付けていることも示されております。

共同署名に参加するのは、我が国と米国のほか、オーストラリア連邦、カナダ、チェコ共和国、フランス共和国、ドイツ連邦共和国、インド共和国、イタリア共和国、大韓民国、オランダ王国、ニュージーランド、ポーランド共和国及びスロバキア共和国の計14か国のサイバーセキュリティ当局等です。

本ガイダンスは、SBOM最小要素に期待される最低限のデータフィールド並びにプラクティス及びプロセスを更新するものです。

• データフィールド：SBOM文書を構成するデータ
• プラクティス及びプロセス：組織がSBOMデータをどのように取り扱い、文書化するか

具体的には、不要なデータフィールドの削除及び統合、用語・定義の整理及び精緻化、データ品質・信頼性・機械処理性向上につながるデータフィールドの追加を反映しています。

※本ガイダンスは新たな要求事項を創設するものではなく、SBOMを新たに生成する際や、既存のSBOMの内容を見直す際に、今後の脆弱性対応の効率化等を踏まえて推奨事項として参照することが期待される内容です。

（1）主な更新点

• リスク情報に基づく判断を支援するための新たな要素の追加
• 対象範囲の明確化及び期待事項の特定のための更新
• 情報品質の向上及び技術的進展との整合のための軽微な更新

（2）適用範囲

• オープンソースソフトウェア、AIソフトウェア及びSaaSを含む、すべてのソフトウェアに適用
• 特定の種類のソフトウェアに対して必要となり得る追加要素は、本ガイダンスの対象範囲外

（3）最小要素

データフィールド

• 新設された項目は以下の通り。

SBOM作成主体の署名、SBOMデータフォーマット名、SBOMデータフォーマットバージョン、SBOM生成コンテキスト、SBOMツール名、SBOMツールのバージョン、SBOMバージョン、コンポーネントのハッシュ値、コンポーネントのハッシュ・アルゴリズム、コンポーネント・ライセンス

• 更新（主な更新、軽微な更新）された項目は以下の通り。

SBOM作成主体、SBOMタイムスタンプ、コンポーネント提供主体、コンポーネント依存関係、コンポーネント識別子、コンポーネント名、コンポーネント・バージョン

• 削除された項目は以下の通り。

アクセス制御

プラクティスとプロセス

• 更新（主な更新、軽微な更新）された項目は以下の通り。

SBOMデータ更新への対応、カバレッジ配布及び提供、不明情報の明示、頻度、機械処理可能なデータ

関連資料

• ダウンロード（Adobeサイトへ）