高度情報処理技術者試験・情報処理安全確保支援士試験 令和7年度 春期 午前I 問13

【正解】イ

SBOMは、あるソフトウェアを構成する部品を一覧化した「ソフトウェア部品表」です。自社で作成した部分だけでなく、利用しているオープンソースソフトウェア、ライブラリ、パッケージ、それらのバージョンや依存関係などを記録します。SBOM管理ツールを用いて、この情報を脆弱性データベースと照合すれば、既知の脆弱性を含む部品が使用されているソフトウェアを特定できます。したがって、ソフトウェアの脆弱性管理を行うイが正解です。

アのアカウントの一元管理は誤りです。これはID管理システムやディレクトリサービス、IAMなどが担当する機能です。SBOMは、利用者のIDや認証情報を管理するものではありません。

ウのバージョン管理、アクセス制御及び改ざん防止は誤りです。ソースコードの変更履歴の管理にはGitなどのバージョン管理システムを用い、アクセス制御や改ざん防止にはリポジトリの権限設定や電子署名などを用います。

エのバックアップとマルウェア混入防止は誤りです。バックアップにはバックアップ管理製品、マルウェアの検出にはウイルス対策製品やコードスキャンなどを用います。SBOM自体はソースコードを複製したり、マルウェアを直接除去したりする仕組みではありません。

【ポイント】 SBOMでは、部品名、バージョン、供給者、ライセンス、依存関係などを管理します。 脆弱性が公表された際に、影響を受ける製品を素早く特定できることが大きな利点です。 「ソフトウェアの部品構成を可視化して脆弱性管理に役立てる」と覚えましょう。