SBOMとは何か。医療機器メーカーに必要な理由

SBOM（Software Bill of Materials）は「ソフトウェア部品表」と訳されます。製品に含まれるソフトウェアのコンポーネント、OSS（オープンソースソフトウェア）、ライブラリ、それぞれのバージョンや依存関係を一覧化したものです。製造業の「部品表（BOM）」のソフトウェア版と考えると分かりやすいかもしれません。

なぜ今、SBOMが必要になっているか

医療機器ソフトウェアの多くは、数十から数百のOSSやサードパーティ製コンポーネントを組み合わせて作られています。開発効率の観点から当然の選択ですが、一方で「自分たちが使っているコンポーネントに脆弱性が見つかったとき、自社製品が影響を受けるかどうか」をすぐに判断できる体制が必要になります。

Log4Shellのような重大な脆弱性が公表されたとき、SBOMが整備されている組織は数時間で影響製品を特定できます。整備されていない組織は、まず構成要素の調査から始めなければならず、対応の初動が大幅に遅れます。医療機器の場合、対応遅延が患者安全上のリスクになりかねないため、この差は特に重要です。

規制対応の基盤にもなる

厚生労働省のガイダンスや米国FDAの規制では、医療機器のSBOM整備が明示的に求められています。具体的には、製品申請時にSBOMを提出すること、市販後においても最新の状態を維持することが期待されます。

また、病院や医療機関への納入においても、SBOMの提出を求める動きが出始めています。入札条件として要求されるケースも増えており、整備が遅れると事業上のリスクにつながります。

形式はSPDXかCycloneDXが標準

SBOMの記述形式としては、SPDX（Linux Foundation）とCycloneDX（OWASP）が国際的に広く使われています。どちらも機械読み取り可能な形式（JSON、XML等）で出力でき、脆弱性データベースとの照合ツールとも連携できます。

どちらの形式が適切かは、納入先や規制当局の要件、使用するツールの対応状況によって異なります。AIGISでは、製品の構成に合わせた形式の選定から、実際のSBOM生成・整備まで対応しています。

まず何から始めるか

SBOM整備は、いきなり完璧なものを作ろうとすると難航します。まずは「自社製品にどんなソフトウェアが含まれているか」の棚卸しから始め、段階的に精度を上げていくアプローチが現実的です。ご相談いただければ、現在の開発・保守体制に合った進め方をご提案します。