Software Bill of Materials
SBOM（ソフトウェア部品表）は、すべての依存関係（直接・間接）をバージョン・ライセンス・脆弱性情報とともに列挙したソフトウェアの構成部品リストである。
目的
依存関係の全体像を把握し、脆弱性対応やコンプライアンス監査を支えることを目的とする。
メカニズム
フォーマットには SPDX / CycloneDX がある。コンポーネント名・バージョン・供給者・ライセンス・依存関係を記述し、生成ツールがパッケージマネージャやビルド成果物をスキャンする。SBOM と脆弱性データベースを突き合わせることで、影響を受けるコンポーネントを即座に特定できる。
ユースケース
- 依存関係のトラッキング
- 脆弱性対応のプロセス
- コンプライアンス