SBOM/SLSA/Sigstore CycloneDX/SPDX 2026（エスボム）

概要

SBOM（Software Bill of Materials）とSLSA（Supply‑chain Levels for Software Artifacts）は、ソフトウェアサプライチェーンにおける透明性と信頼性を確保するためのフレームワークです。SBOMは CycloneDX 1.6 と SPDX 3.0 の2つの主要フォーマットで表現され、アーティファクトの構成要素、ライセンス、脆弱性情報を網羅します。SLSAはレベル1〜4の指標で、開発プロセスの安全性を段階的に評価します。Sigstore（Cosign・Rekor・Fulcio）はデジタル署名と透明性レポジトリを提供し、in‑toto と GitHub Attestations を組み合わせてビルドパイプライン全体の検証を可能にします。Trivy 0.59、Snyk、Grype、Anchore、syft などのスキャナーは SBOM を自動生成し、脆弱性を検出します。OpenSSF Scorecard と Dependency Track は継続的な監査とリスク評価を行い、US Executive Order 14028 と EU CRA の規制に準拠します。2025年には、Microsoft が SBOM を Azure DevOps の標準機能に統合し、2026年に EU が CRA で SBOM を必須化する予定です。

主な特徴・仕組み

• SBOM フォーマット
  • CycloneDX 1.6：JSON/YAML で 500 KB 以上の詳細情報を保持。
  • SPDX 3.0：XML で 200 KB 以上の構成要素とライセンス情報を提供。
• SLSA レベル
  • レベル1：環境の構成管理。
  • レベル2：ビルドプロセスの監査。
  • レベル3：ソースコードの整合性保証。
  • レベル4：リリース後の検証と監視。
• Sigstore エコシステム
  • Cosign：デジタル署名、GPG 互換。
  • Rekor：署名の透明性レポジトリ。
  • Fulcio：証明書発行サービス。
• in‑toto と GitHub Attestations
  • ビルドステップごとに証明書を発行。
  • GitHub Actions で自動化が可能。
• スキャナー連携
  • Trivy 0.59：軽量で 0.5 s/パッケージのスキャン。
  • Snyk：リアルタイム脆弱性フィード。
  • Grype：Docker イメージの 100 % 覆い。
  • Anchore：ポリシー駆動型検証。
  • syft：SBOM 生成 0.1 s/イメージ。
• 監査ツール
  • OpenSSF Scorecard：CI で 5 分以内にスコアリング。
  • Dependency Track：脆弱性のトレーサビリティ。
• 規制対応
  • US Executive Order 14028：2025年に 80 % 企業が SBOM を導入。
  • EU CRA 2026：全製品に SBOM の添付が義務化。

スペック比較表

具体例・対応製品

• RTX 5090 は 24 GB GDDR7 を搭載し、TDP 450 W。
• Ryzen 9 9950X3D は 3.5 GHz ベース、5.2 GHz ブースト。
• DDR5‑6000 は 32 GB で 6000 MHz。
• Intel Xeon W‑3223 は 1.8 GHz ベース、10 nm プロセス。
• Nvidia RTX 4090 は 24 GB GDDR6X、TDP 350 W。

自作PCでの選び方・注意点

1. SBOM 生成ツールの導入
   • CI/CD に syft か Trivy を組み込み、イメージごとに SBOM を自動生成。
2. SLSA レベルの目標設定
   • レベル3 を目指す場合は、ソースコードの自動チェックと署名を必須に。
3. Sigstore 署名の有効化
   • Cosign でイメージ署名を行い、Rekor にレポジトリを保持。
4. 脆弱性スキャナーの統合
   • Trivy 0.59 で 0.5 s/パッケージのスキャンを実行し、Snyk で継続的監査。
5. 監査ツールの設定
   • OpenSSF Scorecard を GitHub Actions で実行し、スコアをダッシュボードに表示。
6. コンプライアンスチェック
   • EU CRA 2026 対応のため、SPDX 3.0 でライセンス情報を完全に網羅。
7. ハードウェア選定
   • RTX 5090、Ryzen 9 9950X3D、DDR5‑6000 など、2025年にリリースされた最新ハードウェアを選択。
8. 電源と冷却
   • RTX 5090 の 450 W TDP を考慮し、750 W 以上の電源と 120 mm ファン 2× で冷却。

関連用語との違い

よくある質問(FAQ)

Q1. SBOM と SLSA の違いは何ですか？
A1. SBOM はアーティファクトの「何が入っているか」を記述し、SLSA は「どれだけ安全に作られたか」を評価します。

Q2. 2026年に EU CRA が SBOM を必須化すると、個人ユーザーに何が影響しますか？
A2. 主要ソフトウェアベンダーは自動的に SBOM を添付し、ユーザーはパッケージの安全性を確認できるようになります。自作PC では、公式イメージを使用する際に SBOM が自動取得されます。

Q3. Trivy 0.59 と Snyk の違いは？
A3. Trivy はローカルで高速に脆弱性を検出し、Snyk はクラウドベースで継続的に脆弱性情報を更新します。両者を併用することで、即時スキャンと長期的リスク管理が可能です。

まとめ

SBOM（CycloneDX 1.6・SPDX 3.0）と SLSA v1.0、Sigstore（Cosign・Rekor・Fulcio）は、2025–2026 年の規制と市場ニーズに応える統合セキュリティフレームワークです。自作PC では、RTX 5090、Ryzen 9 9950X3D、DDR5‑6000 など最新ハードウェアを選択し、Syft、Trivy、OpenSSF Scorecard を組み合わせることで、ビルドパイプライン全体の透明性とコンプライアンスを確保できます。2026 年の EU CRA に備え、SBOM の完全な生成と署名を標準化することで、法規制遵守とユーザー信頼を同時に達成できるでしょう。