SBOM「最小要素」国際指針に共同署名、データ信頼性高める10項目を新設　経産省/NCO

経済産業省と内閣官房国家サイバー統括室（NCO）は2026年7月30日（現地時間29日）、日米欧など主要14カ国のサイバーセキュリティ当局などと共同で、ソフトウェア部品表（SBOM）に関する最新の推奨要件を定めた国際ガイダンス「ソフトウェア部品表（SBOM）の最小要素」（2026年版）に署名し、公表しました（※）。本ガイダンスは、2021年7月に米国商務省国家電気通信情報庁（NTIA）が公表した旧基準をベースに、2025年8月の草案（ドラフト）公表とパブリックコメント募集を経て、5年ぶりに正式な国際共同合意として改訂、発行されたものです。

ガイダンス「ソフトウェア部品表（SBOM）の最小要素」の初版から5年が経過し、SBOMの自動生成・分析ツールの技術的成熟が進むとともに、実運用におけるベストプラクティスも蓄積されてきました。さらに、日本を含む15カ国は2025年9月、SBOM運用上の国際共同ガイダンス整備に向けた共有ビジョンに共同署名し、新基準の策定に向けた共通の認識を形成していました。これらの技術的進展と国際的な合意を背景に公表されたのが今回の2026年版ガイダンスです。ガイダンスが示すSBOMの最小要素（推奨事項）は、OSS（オープンソースソフトウェア）やSaaS（Software as a Service）を含む、すべてのソフトウェアに適用されます。

2026年版が定義する最小要素は、合計23の項目で構成されています（データフィールドで17項目、プラクティスとプロセスで6項目）。データフィールドとは、SBOM文書そのものを構成する記述項目です。2021年の旧版から引き継がれた基本の7項目に加え、最新の自動化や改ざん防止を前提とした10項目が新設されました。2026年版では、目視チェックではなく、システムによる脆弱性処理の自動化を前提としています。

表　新設された10のデータ項目

出典　「2026 Minimum Elements for a Software Bill of Materials （SBOM）」を基にニュートン・コンサルティング作成
※番号（No.）は便宜上のもの。実際の文書には番号は記載されていません。

他方、プラクティスとプロセスは、組織がSBOMデータをどのように取り扱い、文書化するかという運用ルールを指します。こちらは全6項目に再編、刷新されました。

旧版で独立した要素だった「アクセス制御」は、実務に即して「配布及び提供」の一部に統合される形で削除されています。また、これまでは直接組み込んだ部品（深度）のみが重視されがちでしたが、2026年版ではその配下にある「孫部品（推移的依存関係）」に至るまで、水平・垂直方向の依存関係を漏れなく網羅する「カバレッジ」の概念に置き換えられました。

さらに、データに不明点がある場合に単に空欄にするのではなく「作成主体にとって本当に不明なのか」または「意図的に非開示にしているのか」を明確に区別して記載する「不明情報の明示」ルールも導入されたほか、データの誤りに対応する「SBOMデータ更新への対応」、データの再生成を求める「頻度」、SPDXやCycloneDXなど自動処理に対応した規格を求める「機械処理可能なデータ」がそれぞれ定義されています。

なお、本ガイダンスでは、経済産業省が策定した「ソフトウェア管理に向けたSBOMの導入に関する手引」（ver 2.0は2024年8月公表、初版は2023年7月）が導入支援事例として紹介されています。

※「2026 Minimum Elements for a Software Bill of Materials（SBOM）」のこと。

参考情報