政策一覧にもどるデジタル・IT
デジタル・IT医療機器の薬事承認要件化・政府重要調達でのSBOM提出義務適用中---
サイバーセキュリティ・ソフトウェア部品表（SBOM）導入義務化
見えないサイバー脆弱性を可視化せよ！医療機器・自動車・重要インフラソフトのSBOM作成を義務付け
施行時期: 2024年経産省・厚労省導入手引書・2025年調達要件化
3
これだけ押さえる！3つのポイント
- 1ソフトウェア部品表（SBOM➔ Software Bill of Materials）の作成義務付け：医療機器、自動車、電力・通信インフラ、政府調達システムに組み込まれるソフトウェアについて、どのようなオープンソースソフトウェア（OSS）やサードパーティ製ライブラリが使用されているかを網羅した「成分表（部品リスト）」の作成・更新を義務化
- 2未知のゼロデイ脆弱性・サプライチェーン攻撃の即時特定➔ 過去の「Log4jショック」のように世界的な脆弱性が発見された際、自社のどの機器・サーバーに欠陥部品が含まれているかを数分で特定し、サイバー攻撃を先手で防御
- 3国際標準規格（SPDX・CycloneDX）準拠と機械可読性➔ 人間が読む表だけでなく、システム間で自動的に脆弱性データベース（NVD等）と照合できる機械可読フォーマットでの提供を発注要件に設定
政策の背景とねらい
現代のソフトウェアの8割以上は世界中の無償オープンソース（OSS）を組み合わせて作られています。しかし、どの部品がどこに使われているかを開発会社自身が把握できておらず、2021年の「Apache Log4j脆弱性」では世界中のシステムが攻撃に晒され大混乱に陥りました。米国バイデン大統領のサイバー大統領令に呼応し、経済産業省と厚生労働省が医療機器や重要インフラ向けにSBOM導入指針を義務化しました。
4つの主な注目ポイント
ひと目でわかる重要ポイント重要システム・医療機器へのSBOM添付義務化
ソフトウェア構成の開示義務
重要システム・医療機器へのSBOM添付義務化
これまで: 納品された完成品プログラムの中身（内包ライブラリ）はブラックボックス
機械可読なSBOM（SPDX/CycloneDX）の添付を調達契約および薬事承認で義務化
数分以内の脆弱性箇所自動特定
新脆弱性発見時の特定スピード
数分以内の脆弱性箇所自動特定
これまで: ソースコードを手動で調査するため特定までに数週間〜数ヶ月を要し被弾
SBOM解析ツールにより脆弱性公表から数分〜数時間以内に影響箇所を特定
医療機器プログラム薬事承認におけるSBOM必須化
医療機器プログラム（SaMD）の審査
医療機器プログラム薬事承認におけるSBOM必須化
これまで: サイバーセキュリティに関する成分表審査はなく出荷後の管理が形骸化
厚労省薬事承認においてSBOM作成と継続的脆弱性監視体制を必須要件化
OSSライセンス違反・知財紛争の自動防止
オープンソースライセンス違反の防止
OSSライセンス違反・知財紛争の自動防止
これまで: 意図せず商用利用禁止ライセンス（GPL等）が混入し法的な訴訟リスクに直面
SBOMによるライセンス情報の自動監査で知財リスクや規約違反を未然防止
両論の整理（メリットと検討課題）
どちらか一方を正解と決めつけず、どんな意見や論点があるのかを市民目線でまとめました。
期待・推進側の主な視点2つの視点
迅速なサイバー防御
「攻撃者が悪用する前に該当パッチを即座に適用し操業停止を回避」
国際輸出基準のクリア
「米国のサイバー大統領令やEUのサイバーレジリエンス法（CRA）に完全適合」
期待される主な効果期待されている効果・メリット（賛成側の視点）
慎重・検討課題の主な視点2つの視点
中小ベンダーの負担
「専任のセキュリティ担当者がいない零細受託開発ベンダーが対応不能に」
情報漏洩時の逆効果
「システムの脆弱性リストがハッカーの手に渡ると標的型攻撃が容易になるジレンマ」
主な検討課題・論点検討されている課題・懸念点（慎重側の視点）
制度変更の詳細、海外主要国のルール、根拠法、一次情報を確認したいですか？
新旧対照（ビフォーアフター）、海外主要国のルール比較、国会での決定経緯タイムライン、根拠法、官公庁の公式一次資料をご覧いただけます。
議論・専門知識・補足情報スレッド
この政策に関する背景知識、一次資料のURL、最新の制度変更、現場の実情などをご自由にお寄せください（GitHubアカウントで投稿可能）。
知見の公式採用について：スレッドに寄せられた有益な情報や前提知識・法改正の動きは、中立性とファクトチェックを確認の上、政策の公式本文（図鑑データ）に正式に反映・加筆させていただきます。 荒らしやデマのない信頼できる情報基盤をコミュニティと共に作っていきます。