政策一覧にもどるデジタル・IT・DX
デジタル・IT・DX成立・施行済み---
重要インフラ・サイバーセキュリティ確保のためのSBOM（ソフトウェア部品表）導入義務化
ソフトウェアの「原材料表示」を義務化。電力・通信・医療の基幹システムでオープンソース脆弱性を即時検知
施行時期: 2024年4月経済産業省SBOM導入手引第2版公表
3
これだけ押さえる！3つのポイント
- 1電力、水道、鉄道、通信、金融、医療などの「重要インフラ」で使用される基幹ITシステムや制御システム（OT）について、含まれるオープンソースソフトウェア（OSS）やライブラリの構成リストを可視化する「SBOM（Software Bill of Materials➔ ソフトウェア部品表）」の作成・提出を調達要件として義務付ける国家サイバーセキュリティ政策です。
- 2Log4jショックのような世界的な重大脆弱性が発見された際、自社システムに影響があるかを従来の数週間から「数分〜数時間」で特定し、サイバー攻撃による国家機能停止を未然に防ぎます。
- 3政府調達におけるSBOM提出義務付けを皮切りに、民間重要インフラ事業者および医療機器メーカーへの段階的適用を推進しています。
政策の背景とねらい
現代のソフトウェアの8割以上はオープンソース（OSS）を組み合わせて作られていますが、どのソフトにどの古い部品が埋め込まれているかを開発元すら把握できていない『ソフトウェア・サプライチェーンの不透明性』が最大の盲点となっていました。2021年のLog4shell脆弱性やSolarWindsサプライチェーン攻撃を受け、米国大統領令に呼応して経済産業省が導入指針を策定しました。
4つの主な注目ポイント
ひと目でわかる重要ポイント注目
基本概念
ソフトウェア部品表 (SBOM)
現行
基本概念
注目
即応効果
脆弱性検知を数分に短縮
現行
即応効果
注目
適用対象
電力・鉄道・医療・通信等
現行
適用対象
両論の整理（メリットと検討課題）
どちらか一方を正解と決めつけず、どんな意見や論点があるのかを市民目線でまとめました。
期待・推進側の主な視点2つの視点
電力会社のサイバーセキュリティ統括（CISO）
「ソフトウェアサプライチェーンの可視化により、ベンダー任せにしない主体的なインフラ防衛が可能になった」
総合病院の医療機器安全管理者
「医療機器のネットワーク接続が進む中、患者の生命を守るセーフティガードとしてSBOMは必須の基盤だ」
期待される主な効果期待される効果（賛成側の主な論点）
慎重・検討課題の主な視点2つの視点
独立系ソフトウェアハウス社長
「SBOM作成・管理にかかるコストを正当に開発単価へ転嫁できる商習慣が定着しなければ下請けが疲弊する」
ホワイトハッカー（脆弱性リサーチャー）
「SBOM単体ではなく、到達可能性評価（VEX）を統合した運用プロトコルの標準化が不可欠だ」
主な検討課題・論点指摘されている課題・懸念点（慎重側の主な論点）
制度変更の詳細、海外主要国のルール、根拠法、一次情報を確認したいですか？
新旧対照（ビフォーアフター）、海外主要国のルール比較、国会での決定経緯タイムライン、根拠法、官公庁の公式一次資料をご覧いただけます。
議論・専門知識・補足情報スレッド
この政策に関する背景知識、一次資料のURL、最新の制度変更、現場の実情などをご自由にお寄せください（GitHubアカウントで投稿可能）。
知見の公式採用について：スレッドに寄せられた有益な情報や前提知識・法改正の動きは、中立性とファクトチェックを確認の上、政策の公式本文（図鑑データ）に正式に反映・加筆させていただきます。 荒らしやデマのない信頼できる情報基盤をコミュニティと共に作っていきます。