SBOMで脆弱性管理を高度化する新システムを提供：IoTセキュリティ

日立ソリューションズは、ソフトウェアサプライチェーンのセキュリティリスクを継続的に管理する「SBOM管理システム」の提供を開始した。SBOMを一元管理し、人手に依存していた脆弱性管理業務を効率化する。

[MONOist]

　日立ソリューションズは2026年6月24日、ソフトウェアサプライチェーンのセキュリティリスクを継続的に管理する「SBOM管理システム」の提供を開始した。生成ツールの違いなどによって構造や記述に差異が生じるSBOM（ソフトウェア部品表）を一元管理し、識別子の自動付与と脆弱性の継続監視を実行する。

「SBOM管理システム」の活用イメージ［クリックで拡大］ 出所：日立ソリューションズ

　AI（人工知能）解析技術の進展に伴い、これまで把握されていなかった脆弱性が顕在化している。そのため、企業にはサイバーレジリエンス法（CRA）への対応だけでなく、ソフトウェア構成の把握、継続的な脆弱性管理が求められているが、関連する実務は人手に依存しており、運用負荷が課題となっていた。また、SBOMは生成ツールや提供元のサプライヤーごとに納品形式やフォーマットが異なるため、識別子の管理や脆弱性の確認に多くの工数を要し、継続的な運用を困難にしていた。

　SBOM管理システムは、機密性の高いSBOMデータを安全に管理できる環境を提供し、日本語と英語の2言語に対応する。CPEなどの標準的な識別子を自動的に付与してソフトウェアと脆弱性情報を正確にひも付けることで、人手に依存していた確認業務を効率化する。

　さらに、脆弱性データベースを継続的に監視して、新たなリスクが判明した際には自動で通知する機能を備えた。オープンソースソフトウェア（OSS）だけでなく、市販の既製ソフトウェア、操作や改変、再配布を権利者が制限しているプロプライエタリ（Proprietary）ソフトウェアにも対応する。

　外部のツールとの連携も可能だ。具体的には、OWASPのセキュリティ管理ツールである「Dependency-Track」や、AtlassianのITSMツールである「Jira Service Management」、ServiceNowのITサービス運用統合管理プラットフォーム「ServiceNow」と連携できる。これにより、脆弱性を検出した際の対応の優先順位付けや進捗管理を効率化し、対応履歴の一元管理によるガバナンス強化を図れる。

　同システムの有効性について、同社が島津製作所、ヤマハと実証したところ、脆弱性管理に関する工数の削減と運用効率化において高い評価が得られた。今後は日立グループと連携し、日系企業の海外拠点におけるセキュリティガバナンス強化を支援していく。

⇒その他の「IoTセキュリティ」の記事はこちら