情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度春期 午前Ⅱ 問17: ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM（Software Bill of Materials）はどれか。

正解

ウ. ソフトウェアを構成するコンポーネント，互いの依存関係などのリスト

正答率 83.3%（36人中 30人が正解）

問題の解説

SBOM(ソフトウェア部品表)は、製品を構成するコンポーネントやライブラリと、それらの依存関係・バージョン・出所などを一覧化したもの。ウが正しい。実務では新たな脆弱性が公表された際に、自社製品にその部品が含まれるかをSBOMで即座に照合でき、影響範囲の特定とパッチ対応を迅速化する。サプライチェーンセキュリティの基盤として重要性が高まっている。

選択肢ごとの解説

• アベンダー非依存の深刻度評価はCVSSの説明で、SBOMではない。
• イアップデートの管理プロセスをまとめたガイドラインはSBOMの定義ではない。
• ウ構成コンポーネントや依存関係のリストという記述でSBOMとして正しい。
• エMITREによる弱点の種類を識別する基準はCWEの説明で、SBOMではない。