政府調達システムにおけるオープンソースソフトウェア（OSS）脆弱性監査基準
政府調達システムにおけるオープンソースソフトウェア脆弱性監査基準を推進。新脆弱性発見から影響システムを特定するまでの時間を数週間から数時間以内に圧縮
これだけ押さえる！3つのポイント
- 1デジタル庁および全府省庁の政府情報システムにおいて、Log4j事件やXZ Utilsバックドア事件のような深刻なサプライチェーン攻撃を防ぐため、オープンソースソフトウェア（OSS）の脆弱性管理・調達基準を義務付ける。
- 2納入ベンダーに対し、ソフトウェアを構成するすべてのライブラリや部品を可視化する「ソフトウェア部品表（SBOM➔ Software Bill of Materials）」の提出を必須化する。
- 3重要インフラやOSSコミュニティの健全な維持のため、政府が利用する主要な基盤OSSプロジェクトに対する公的支援基金（セキュリティメンテナ支援）を創設する。
世界中のITシステムの9割以上がオープンソースソフトウェア（OSS）に依存している。しかし、有志のボランティアが管理するライブラリを狙って悪意あるバックドアを仕込む攻撃や、未修正の重大な脆弱性を突いた不正アクセスが激増している。2021年のApache Log4j脆弱性では世界中の政府・企業がパニックに陥った。政府情報システムのセキュリティを抜本強化するため、米国のサイバーセキュリティ大統領令に倣い、調達時のSBOM提出義務化とOSSエコシステム保全が喫緊の課題となっていた。
4つの主な注目ポイント
ひと目でわかる重要ポイント両論の整理（メリットと検討課題）
どちらか一方を正解と決めつけず、どんな意見や論点があるのかを市民目線でまとめました。
「過去にLog4jの騒ぎがあったときは、数千のサーバーを1台ずつ手作業で調べて徹夜が続きましたが、SBOMが義務化されたことでコマンド一発で該当箇所を特定でき、被害ゼロで乗り切れました。」（政府系システム運用リーダー）
「海外のOSSメンテナ支援に日本政府が資金を拠出してくれたことで、世界中のセキュリティコミュニティから日本の貢献が高く評価されています。」（OSS開発者）
「単にSBOMを提出させるだけでなく、発見された脆弱性をどの期限までに修正させるかのSLA（サービス水準合意）を明確にすべきです。」（セキュリティコンサルタント）
新旧対照（ビフォーアフター）、海外主要国のルール比較、国会での決定経緯タイムライン、根拠法、官公庁の公式一次資料をご覧いただけます。
議論・専門知識・補足情報スレッド
この政策に関する背景知識、一次資料のURL、最新の制度変更、現場の実情などをご自由にお寄せください（GitHubアカウントで投稿可能）。