SBOMなどの可視化データ活用知見を共創「セキュリティ透明性確保に向けた可視化データ活用～脆弱性管理編～」をセキュリティ・トランスペアレンシー・コンソーシアムが公表

（1）フォーマット・データ

SBOMなどの可視化データは、複数の標準仕様が存在し、生成ツールの出力内容にバラつきがみられます。そのため、脆弱性管理において、対応すべき脆弱性を正しく特定できないリスクがあります。対応すべき脆弱性を特定するためには、可視化データの品質を正しく評価する必要があり、可視化データの評価指標に関する知見を示します。

（2）技術・ツール

可視化データに対応する多様な技術・ツールが既に利用可能になっていますが、脆弱性管理においては十分といえない状況があります。可視化データを「つかう側」がうまく使いこなすための知見を示します。

（3）活用コスト

「つかう側」が脆弱性管理に可視化データを活用するためには、人材育成により、可視化データの活用方法を理解することが急務となり、そのコスト負担が必要となります。「つかう側」が可視化データを理解し、脆弱性管理を活用するために必要な教育についての知見を示します。

（4）継続的な活用

脆弱性管理が可視化データ活用以前から行われていると、可視化データ活用導入を一度に完了できない場合があります。既存の脆弱性管理の仕組みに可視化データの活用を段階的に浸透させていくための知見を示します。

（5）サプライチェーン上の調整

製品・サービス・システムのサプライチェーンは多段構成であることが多く、脆弱性が発生した場合には、個別企業などの単一組織内に留まらず、組織を越えた相互協力が必要となります。サプライチェーン上の組織間での相互協力や合意形成に関する知見を示します。

（6）可視化データがもたらす影響

可視化データの脆弱性管理における活用が浸透し、セキュリティの透明性が高まると大量の脆弱性が検出され、従来は対処の必要がなかった事象についても、対処の判断を求められるケースが増加します。そのため検出された脆弱性に対し適切に評価・優先付けを行うための指標を示します。

注釈

• 注1 日本電信電話株式会社^注6、日本電気株式会社を幹事事業者として2023年9月に発足したコンソーシアム
• 注2 日本電信電話株式会社（本社：東京都千代田区、代表取締役社長：島田 明）
  日本電気株式会社（本社：東京都港区、取締役 代表執行役社長兼CEO：森田 隆之）
  アラクサラネットワークス株式会社（本社：神奈川県川崎市、代表取締役社長兼CEO：村中 孝行）
  NRIセキュアテクノロジーズ株式会社（本社：東京都千代田区、代表取締役社長：建脇 俊一）
  株式会社NTC（本社：東京都豊島区、代表取締役社長：浜口 幸洋）
  株式会社NTTデータグループ（本社：東京都江東区、代表取締役社長：佐々木 裕）
  株式会社ジークス（本社：東京都千代田区、代表取締役 最高経営責任者：渡辺 浩）
  株式会社ラック（本社：東京都千代田区、代表取締役社長：西本 逸郎）
  Contrast Security, Inc（本社：米国カリフォルニア州プレザントン、CEO：Rick Fitz）.
  Covalent株式会社（本社：東京都千代田区、代表取締役社長：小林 弘樹）
  サイバートラスト株式会社（本社：東京都港区、代表取締役社長：北村 裕司）
  東京エレクトロン株式会社（本社：東京都港区、代表取締役社長兼CEO：河合 利樹）
  三井住友トラストグループ株式会社（本社：東京都千代田区、取締役執行役社長（CEO）：高倉 透）
  三菱電機株式会社（本社：東京都千代田区、執行役社長：漆間 啓）
• 注3 セキュリティ・トランスペアレンシー・コンソーシアムウェブサイト「情報発信」
  URL：https://www.st-consortium.org/?page_id=1239
• 注4 Software Bill of Materials、製品に含まれるソフトウェア部品を一覧化するためのデータ形式
  URL：https://www.ntia.gov/
• 注5 サプライチェーンにおいて事業者間で授受される製品、システム、サービスなどのソフトウェアやハードウェアの構成や状態、リスクの情報を可視化したデータのこと
• 注6 日本電信電話株式会社の代表参加を通じて以下のNTTグループ各社も本コンソーシアムと連携します。
  東日本電信電話株式会社（本社：東京都新宿区、代表取締役社長：澁谷 直樹）、
  西日本電信電話株式会社（本社：大阪府大阪市都島区、代表取締役社長：北村 亮太）、
  株式会社NTTドコモ（本社：東京都千代田区、代表取締役社長：前田 義晃）、
  NTTコミュニケーションズ株式会社（本社：東京都千代田区、代表取締役社長：小島 克重）、
  NTTアドバンステクノロジ株式会社（本社：東京都新宿区、代表取締役社長：伊東 匡）、
  NTTテクノクロス株式会社（本社：東京都港区、代表取締役社長：岡 敦子）、
  NTTセキュリティジャパン（本社：東京都千代田区、代表取締役社長：関根 太郎）
  
• 注7

  （2024年9月30日現在）

  • 株式会社アシュアード
  • 株式会社FFRIセキュリティ
  • シスコシステムズ合同会社
  • 株式会社日立製作所
• 注8 セキュリティ・トランスペアレンシー・コンソーシアムウェブサイト「加入について」
  URL：https://www.st-consortium.org/?page_id=6