SBOMとデジタル署名：自社製品に何が含まれているかを正確に把握する

広く使われているライブラリに深刻な脆弱性が公表されると、すべての運用チームが真っ先に抱く疑問は、「このライブラリを使っているか、どこで使っているか、どのバージョンか」というものです。数分以内に答えを出せないチームは、数日分の遅れを被ることになります。

SBOMとは何か

ビルドに含まれるすべてのコンポーネント（名前、バージョン、ライセンス、出所、およびそれらの間の依存関係）を一覧表示したリストです。一般的なフォーマットとして、SPDXとCycloneDXの2つがあります。

要点：SBOMはビルド時に自動的に生成されなければならない。手作業で作成されたリストは、翌週にはすでに時代遅れになってしまう。

別の問題の解答

SBOMは、その中に何が含まれているかを示します。デジタル署名は、受け取ったものが発行元によって作成されたものであり、伝送中に改ざんされていないことを示します。この2つは互いに補完し合うものであり、互いに置き換わるものではありません。

この最新の署名方式では、発行者の身元をワンタイムキーと紐付け、公開台帳に記録するため、秘密鍵を長期にわたり管理するという負担がなくなります。

最小限から始める

• ビルドプロセスでSBOMを生成し、各リリースに同梱する
• コンテナイメージおよびインストールファイルに署名する
• 「コンポーネントXのバージョンYがどこで実行されているか」を検索できる仕組みを事前に構築する

その価値が実感できるのはトラブルが発生した日だけだが、その日こそ、その価値が1週間分の仕事を救ってくれるのだ。