令和7年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13

SBOMは「Software Bill of Materials」の略で、ソフトウェアの部品表みたいなものだよ。料理でいうレシピや材料リストのように、どんなライブラリや部品に依存して作られているかを見える化して、あとから脆弱性の影響を確認しやすくするために使うんだ。

この問題で問われていること

ポイントは、SBOMを「脆弱性を直接見つける診断ツール」と考えないことだよ。どの部品を使っているかを一覧できる仕組みで、その情報をもとに『この脆弱性、自分たちのソフトに関係あるかな？』と確認するためのもの、と押さえよう。

SBOM の役割

脆弱ライブラリが見つかったとき、SBOM があれば影響製品を素早く洗い出せる。

components list\ndependencies\nvulnerability impact check

確認ポイント

• 部品表である点が核心です。
• ライセンス管理や脆弱性管理に使える。
• 診断ツール名ではありません。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。利用者認証のアカウント一元管理は、会社の入館証を一つの窓口でまとめて発行・停止するような話だよ。SBOMはソフトウェアの部品表を管理するものなので、人のログインIDや権限をまとめる仕組みとは担当が違うんだ。

選択肢イ（正解）

これは正解だよ。SBOMはソフトウェアの“材料表”みたいなもので、使っている部品やライブラリを一覧にできるんだ。あとから「この部品に欠陥が見つかったよ」と分かったとき、冷蔵庫の材料リストを見るように、どのソフトに影響があるか探せるので、脆弱性管理に使えるよ。

選択肢ウ

これは不正解だよ。ソースコードの版管理やアクセス制御、改ざん防止は、レシピ帳を誰が書き換えたか管理して鍵をかける話に近いよ。SBOM管理ツールは「材料一覧」を見て危ない部品が入っていないか確認する道具なので、ソースコード保管庫そのものを守る役割とは違うんだ。

選択肢エ

これは不正解だよ。バックアップは大事なノートのコピーを取ること、マルウェア混入防止は変なものを持ち込ませない見張り番の話だよ。SBOMは“何の部品で作られているか”を管理する道具なので、コピー保管や直接のウイルス混入防止をするものではないんだ。