SBOM「3つのフォーマット」を比較【後編】

SBOMフォーマット「SWID Tag」は「CycloneDX」や「SPDX」と何が違う？

「SBOM」（Software Bill of Materials）の複数のフォーマットの中で、「SWID Tag」は他のものと少し位置付けが違う。CycloneDX、SPDXとは何が異なるのか。利用するメリットとは。

公開 2024年02月01日 05時00分

著者

Ravi Das

[TechTarget]

印刷する連載新着通知を受け取る

　ソフトウェア部品表である「SBOM」（Software Bill of Materials）には、以下3つのフォーマットがある。

CycloneDX
Software Package Data Exchange（SPDX）
Software Identification Tag（SWID Tag、またはSWID）

　このうち、SWID Tagは少し特殊だ。それはなぜなのか。CycloneDX、SPDXと比較しながらSWID Tagの特徴を整理しよう。

「SWID Tag」とは？　CycloneDX、SPDXとは何が違う？

併せて読みたいお薦め記事

連載：SBOM「3つのフォーマット」を比較

ソフトウェアを安全に開発するには

　SWID Tagは米国立標準技術研究所（NIST：National Institute of Standards and Technology）が開発している。CycloneDXやSPDXと異なり、全てのソフトウェア情報を集約するものではないため、完全なSBOMフォーマットとは言えない。SWID Tagはソフトウェア開発者がソフトウェアの各コンポーネントに付ける“タグ”だ。インストールされたソフトウェアを追跡し、ライセンス管理やパッチ（修正プログラム）管理ができる。

　SWID Tagを自動スキャンツールに統合して、脆弱（ぜいじゃく）性スキャンに利用することができる。NISTはSWID Tagのデータを米国政府の脆弱性データベース「National Vulunerability Database」（NVD）や、脆弱性管理を自動化するための基準「Secure Content Automation Protocol」（SCAP、セキュリティ設定共通化手順）に追加している。

　SWID Tagはソフトウェアの追跡に加え、ユーザー企業に以下のメリットをもたらす。