解説

SBOM（Software Bill of Materials：ソフトウェア部品表）は、ソフトウェアを構成するコンポーネント（ライブラリ・フレームワーク）の一覧と相互依存関係をまとめたもの。脆弱性のあるコンポーネントが含まれていないか確認する脆弱性管理ツールとして活用される。

なぜ他の選択肢は違うのか

選択肢 ア

ベンダー非依存のオープンな脆弱性深刻度評価方法はCVSS（Common Vulnerability Scoring System）の説明。

選択肢 イ

セキュリティアップデートの管理プロセス・組織体制をまとめたガイドラインはパッチ管理ガイドライン等の説明。SBOMとは異なる。

選択肢 エ

MITREが策定したソフトウェアの脆弱性種類の識別基準はCWE（Common Weakness Enumeration）の説明。

解くときのポイント

SBOMは米国大統領令（EO 14028）でソフトウェア調達要件として義務化方向。CycloneDX・SPDX等のフォーマットがある。脆弱なOSSコンポーネント検出（SCA: Software Composition Analysis）に使われる。