SBOM生成ツールで2026 Minimum Elementsはどこまで満たせるのか

ソフトウェアサプライチェーンの可視化や脆弱性管理のため、SBOMの活用が広がっています。SyftやTrivyを使えばSBOM自体は簡単に生成できますが、それだけで十分なのでしょうか。

米国のCISAが策定した 2026 Minimum Elements for a Software Bill of Materialsでは、コンポーネント名やバージョン、依存関係だけでなく、SBOMの生成コンテキスト、署名など、SBOM生成ツールだけでは満たせない要素も求められています。さらに、要素を埋めるための情報がない場合は、SBOM生成者にとって不明なのか、意図的に秘匿にしているのかの明示も求められています。

本セッションでは、2026 Minimum Elementsの各要件と照らし合わせながら、SyftやTrivyなどの実際のSBOM生成ツールでどこまで自動生成できるのかを検証します。その上で、満たせない要素をCI/CDや署名、メタデータ補完で埋める実装例を示し、自動化できる範囲と、人による補完や判断が必要な範囲を整理します。