日本簽署SBOM國際共通指引，強化軟體弱點管理，全面提升國家網路安全

由美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, 簡稱CISA）自2024年以來，持續主導並規劃《SBOM網路安全之共同願景》（A Shared Vision of Software Bill of Materials(SBOM) for Cybersecurity）之指引訂定，作為保障網路安全之國際共通指引。於2025年9月3日，由日本內閣官房網路安全統括室為首，偕同經濟產業省共同代表日本簽署了該份指引，包含日本在內，尚有美國、德國、法國、義大利、荷蘭、加拿大、澳洲、紐西蘭、印度、新加坡、韓國、波蘭、捷克、斯洛伐克等共計15個國家的網路安全部門，皆同步完成簽署。以下為指引之重點內容：

1. 軟體物料清單的定位（Software Bill of Materials, 簡稱SBOM）

SBOM於軟體建構上，包含元件內容資訊與供應鏈關係等相關資訊的正式紀錄。

2. 導入SBOM的優點

(1) 提升管理軟體弱點之效率。

(2) 協助供應鏈風險管理（提供選用安全的軟體，提升供應商與使用者之間溝通效率）。

(3) 協助改善軟體開發之進程。

(4) 提升管理授權軟體之效率。

3. SBOM對於利害關係人之影響

(1) 使軟體開發人員可選擇最符合需求的軟體元件，並針對弱點做出適當處置。

(2) 軟體資訊的透明化，可供採購人員依風險評估決定是否採購。

(3) 若發現軟體有新的弱點，使軟體營運商更易於特定軟體與掌握弱點、漏洞。

(4) 使政府部門於採購流程中，發現與因應影響國家安全的潛在風險。

4. SBOM適用原則與相關告知義務

確保軟體開發商、製造商供應鏈的資訊透明，適用符合安全性設計（Security by Design）之資安要求，以及須承擔SBOM相關告知義務。

近年來軟體物料清單（SBOM），已逐漸成為軟體開發人員與使用者，於管理軟體弱點上的最佳解決方案。然而，針對SBOM的作法與要求程度，各先進國家大不相同，因此透過國際共通指引的簽署，各國對於SBOM的要求與效益終於有了新的共識。指引內容不僅建議軟體開發商、製造商宜於設計階段採用安全設計，以確保所有類型的資通訊產品（特別是軟體）之使用安全，也鼓勵製造商為每項軟體產品建立SBOM並進行管理，包含軟體版本控制與資料更新，指引更強調SBOM必須整合組織現有的開發與管理工具（例如漏洞管理工具、資產管理工具等）以發揮價值。此份指引可作為我國未來之參考借鏡，訂定相關的軟體物料清單之適用標準，提升政府部門以及產業供應鏈之網路安全。

相關連結

• 〈サイバーセキュリティのためのソフトウェア部品表（SBOM）の共有ビジョンに関する国際ガイダンスに共同署名しました〉，経済産業省
• A Shared Vision of Software Bill of Materials (SBOM) for Cybersecurity, America’s Cyber Defense Agency
• MINISTRY OF ECONOMY, TRADE AND INDUSTRY [METI], A Shared Vision of Software Bill of Materials(SBOM) for Cybersecurity (Sept. 3, 2025)