SBOM「3つのフォーマット」を比較【後編】

SBOMフォーマット「SWID Tag」は「CycloneDX」や「SPDX」と何が違う？

「SBOM」（Software Bill of Materials）の複数のフォーマットの中で、「SWID Tag」は他のものと少し位置付けが違う。CycloneDX、SPDXとは何が異なるのか。利用するメリットとは。

公開 2024年02月01日 05時00分

著者

Ravi Das

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　ソフトウェア部品表である「SBOM」（Software Bill of Materials）には、以下3つのフォーマットがある。

CycloneDX
Software Package Data Exchange（SPDX）
Software Identification Tag（SWID Tag、またはSWID）

　このうち、SWID Tagは少し特殊だ。それはなぜなのか。CycloneDX、SPDXと比較しながらSWID Tagの特徴を整理しよう。

「SWID Tag」とは？　CycloneDX、SPDXとは何が違う？

併せて読みたいお薦め記事

連載：SBOM「3つのフォーマット」を比較

ソフトウェアを安全に開発するには

　SWID Tagは米国立標準技術研究所（NIST：National Institute of Standards and Technology）が開発している。CycloneDXやSPDXと異なり、全てのソフトウェア情報を集約するものではないため、完全なSBOMフォーマットとは言えない。SWID Tagはソフトウェア開発者がソフトウェアの各コンポーネントに付ける“タグ”だ。インストールされたソフトウェアを追跡し、ライセンス管理やパッチ（修正プログラム）管理ができる。

　SWID Tagを自動スキャンツールに統合して、脆弱（ぜいじゃく）性スキャンに利用することができる。NISTはSWID Tagのデータを米国政府の脆弱性データベース「National Vulunerability Database」（NVD）や、脆弱性管理を自動化するための基準「Secure Content Automation Protocol」（SCAP、セキュリティ設定共通化手順）に追加している。

　SWID Tagはソフトウェアの追跡に加え、ユーザー企業に以下のメリットをもたらす。