KDD・KDDI総合研究所・富士通・NEC・MRI、通信分野へのSBOM導入に向けた実証事業に着手

オープンソースソフトウェア（以下、OSS）は、ソースコードが公開されているため誰でも利用が可能で、導入事例が拡大している。

一方で、ソフトウェア・サプライチェーンの変化により、OSSを含むソフトウエア部品に対して、悪意のあるコードの混入や、脆弱性を狙ったサイバー攻撃などが発生している。

また、通信システムにおいても、同様に攻撃の被害を受けるリスクが顕在化している。

攻撃への対応として、ソフウェア部品の脆弱性情報を収集・提供するデータベースが既に稼働しているが、通信システム内のソフトウェア部品の構成を把握できていない場合、脆弱性が確認された際の迅速な対応が困難だ。

そのため、ソフトウェアを構成するさまざまな部品の一覧やバージョン情報、部品同士の依存関係などをまとめたSBOMの重要性が高まっている。

こうした中、KDDI株式会社、株式会社KDDI総合研究所、富士通株式会社、日本電気株式会社（以下、NEC）、株式会社三菱総合研究所（以下、MRI）は、サイバーセキュリティの強化を目的に、5GやLTEネットワーク機器などを対象例とした通信分野に対し、ソフトウェアを構成する部品などを記載したリスト「SBOM（Software Bill of Materials）」の導入に向けた実証事業に着手する。

今回発表された実証事業では、SBOMを活用したソフトウェア・サプライチェーンの把握によって、脆弱性などへの対応を支援する。

通信分野におけるサイバーセキュリティを強化するために、「国内外の動向調査および通信分野へのSBOM導入に向けたガイドライン案の検討」「通信機器に対するSBOMの作成と課題整理」「通信機器に対するSBOMの精度評価」について、調査や検討を行う。

具体的には、国内外の行政機関や民間団体などによる、SBOMに関係した取り組みや既存ガイドラインを調査し、通信機器および当該機器のソフトウエア部品のSBOMを作成・活用するためのガイドライン案を検討する。

また、今回の実証事業を通じて、通信事業者が実際に運用している設備の一部を対象として、SBOMを作成する。

そして、作成したSBOMと、ツールで作成したSBOMの比較評価により、精度評価や通信分野において着目すべき項目について分析することで、SBOMの導入に向けた課題を整理する。

なお、今回の実証事業は、KDDIが2023年5月11日に、総務省から「通信分野におけるSBOMの導入に向けた調査の請負」を受託したことを受け、取り組むものだ。

IoTNEWS編集部

IoTに関する様々な情報を取材し、皆様にお届けいたします。