製造業の「SBOM」は誰が構築し運用／管理すべきか【前編】：武田一城の「製品セキュリティ」進化論（3）（1/2 ページ）

近年「製品セキュリティ」と呼ばれ始めたセキュリティの新分野に関する事象を紹介し考察する本連載。今回は、製造業で広く利用されている「EBOM」「MBOM」「サービスBOM」と、製品セキュリティを守る上で重要な役割を果たすSBOM（ソフトウェア部品表）の違いについて論じる。

[武田一城，MONOist]

　ここ数年、米国大統領令や欧州CRA法など海外の法規の成立によって、デジタル製品の品質でも特にセキュリティ要件がフォーカスされるようになった。さらに、日本国内でもこの流れに追従する動きがある。

　「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」のレベル3（★3）でSBOM（Software Bill of Materials：ソフトウェア部品表）の必要性の規程がある。この制度が経済産業省や情報処理推進機構（IPA）で推進され始めたことで、多くのデジタル製品を作っている製造業でSBOMの必要性が無視できない状況になってきている。今回は、このSBOMを企業の中で「誰が構築し運用／管理すべきか」という点について論じる。

⇒連載『武田一城の「製品セキュリティ」進化論』バックナンバーはこちら

現代のデジタル製品はソフトウェアが中核に

　製造業が市場において競争優位性を保つためには、顧客ニーズを的確にキャッチしつつ、迅速な製品開発を行うことで、「売れる製品」を提供し続けることが重要だ。しかし、そのような都合の良い状況が、一過性のブームではなく、継続されることは、そうそうあることではない。

　もちろん、継続的ではなくても「それなりの頻度」で「売れる製品」が市場に出せるだけでも、十分にブランド力を維持できるかもしれない。しかし、製品の品質や信頼性に問題が発生してユーザーに迷惑を掛けるような状況が発生した際には、そのようなものは一瞬で吹き飛ぶだろう。特に、デジタル製品は製品開発が複雑化して久しい。複雑な製品開発の環境下では、ソフトウェアの構造を可視化し、部品表単位での精緻な管理が必要となってきている。

　これまでの製造業では、EBOM（Engineering BOM：設計部品表）やMBOM（Manufacturing BOM：製造部品表）、同じSBOMという略語ながらソフトウェアではないSBOM（Service BOM：サービス部品表、以降サービスBOMと表記）などでそれらを行ってきた。

　しかし、現代のデジタル製品はソフトウェアが中核となっており、その管理にはソフトウェアの部品表であるSBOMが必要不可欠な状況となっている。そこで今回は、従来の各BOMと製造業が新たに必要に迫られているSBOMとの違いや、いきさつなどを述べる。

従来のBOM（EBOM、MBOM、サービスBOM）との違い

　まず、製造業で広く利用されてきた3つのBOMについて述べる。これらの従来のBOMは「製品開発〜製造〜出荷〜アフターサービス」の製品ライフサイクルのフェーズごとの目的に応じて存在する。

　ここで重要なのは、これらのBOMがフェーズごとに分けられているという点だ。なぜ、フェーズごとなのか、それは各フェーズを担当する部門ごとに「視点」が大きく異なるからだ。例えば、設計開発部門と製造部門では部品に対する視点が違うことから、収集／管理したい情報が異なる。BOMはどれも部品表でしかないものの、それぞれの部門が収集／管理したい情報のデータベースのような存在でもあるのだ。

　つまり、3つのBOMは「設計開発」「生産技術／製造」「保守／サポート」の各部門がそれぞれ管理したい情報をBOMとして集約している。システム的に言うとデータベース化しているというのが最もしっくりくるだろう。そして、各BOMのフォーカスする情報が定義された上で格納されている。

　そのため、各BOMが作成されるタイミングと構築／運用管理する部門を整理することで、これら3つのBOMの違いを以下のようにまとめてみた。

（1）EBOM（Engineering BOM：設計部品表）

　EBOMは、製造部門、設計開発部門、研究開発部門が協同して、製品コンセプトから詳細設計までの過程で構築され、この時点で製品の機能要件や仕様が定義される。そのため、EBOMには図面やデザイン、設計書や仕様書などのドキュメントが格納される。

（2）MBOM（Manufacturing BOM：製造部品表）

　製造部門は、設計開発部門の後に「EBOMの設計情報を製造可能な形に変換し、実際の生産ラインに適した構造」に組み換え、各工程の決定が破綻しないような製造要件を策定する。具体的には、生産ラインごとの部品のグループ化、組み立て順序の最適化、製造に必要な治具や消耗品の追加など、EBOMの時点では想定しきれない製造工程での要件が詰められる。そのため、MBOMには詳細な製品取扱説明書や工程別の部品に関する情報が含まれる。

（3）サービスBOM（Service BOM：サービス部品表）

　設計開発と製造の後に、その製品は販売／出荷される。サービスBOMは、市場に流通した後のアフターサービスやメンテナンス用途で利用される。ここでは、修理や点検に必要な「交換可能な部品」を定義することで、顧客が製品を長く使用できるようにする。例えば、製造時にはバラバラの部品であっても、修理時には「交換用キット」としてアセンブリ単位で扱われることがしばしばある。サービスBOMは、アフターサービスに特化するため、それらを一つの品目として管理する。その結果、フィールドサービス部門は迅速な保守部品の特定や発注を可能にする。