ベリサーブ「SBOM.JP」に脆弱性優先度判定機能、11月提供へ

ソフトウェアの品質保証やセキュリティ支援を手掛けるベリサーブは2026年10月29日、ソフトウェアサプライチェーン管理パッケージ「SBOM.JP」に、脆弱性対応の優先順位を判断する新機能を追加すると発表した。提供開始は11月上旬を予定する。今回の機能は、脆弱性の深刻度だけでなく、悪用状況やシステムの公開状況、事業への影響を考慮する点が特徴だ。

CVSSの点数だけでは決められない対応順序

ソフトウェアの脆弱性評価には、深刻度を数値で示すCVSS（Common Vulnerability Scoring System）が広く用いられている。しかし、同じ点数でもインターネットから攻撃できるシステムと外部から接続できないシステムでは、実際の対応優先度が異なり得る。ベリサーブは、脆弱性が増えるなかで、限られた人員と時間をどこに振り向けるかが課題になっていると説明する。

SSVCに準拠したリスクベースの判断

新機能が採用するSSVC（Stakeholder-Specific Vulnerability Categorization）は、関係者の立場や状況に応じて脆弱性への対応を判断するための枠組みだ。ベリサーブの発表によると、悪用の実態、対象システムの公開状況、技術面や業務面への影響などを踏まえて優先順位を可視化する。CVSSを廃止するという発表ではなく、深刻度以外の判断材料を補う取り組みと位置付けられる。

「SBOM.JP」は、製品を構成するソフトウェア部品、依存関係、ライセンス情報などを管理するための製品だ。SBOMはSoftware Bill of Materialsの略で、いわばソフトウェアの部品表に当たる。従来から脆弱性情報との照合、管理ダッシュボード、対応状況を追跡するチケット機能を備える。今回の追加により、部品の把握から脆弱性の発見、対応順序の検討までを同じ管理基盤で扱いやすくする狙いがある。

11月上旬に提供、12月にも追加対応を予定

発表時点でSSVC準拠の新機能はまだ提供開始前で、開始時期は2026年11月上旬と案内されている。また同社は、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）の拘束的運用指令「BOD 26-04」に準じた優先度判定にも、12月上旬に対応する計画を示した。これは今後の予定であり、現時点ですべての機能が利用可能になったわけではない。

企業にとっては、発見された脆弱性の件数そのものよりも、どの資産が影響を受け、どの問題を先に対処すべきかを説明できることが重要になる。例えば、外部公開サービスで悪用が確認されている問題と、影響が限定的な内部システムの問題を同列に扱わず、対応順序を検討する場面が想定される。ただし、実際の判断には資産情報の正確さや組織の運用ルールも必要で、ツールの導入だけで安全性が保証されるわけではない。

ベリサーブの製品案内では、「SBOM.JP」はSaaSまたはオンプレミスで提供可能とされ、価格は問い合わせ方式となっている。今回の発表には、新機能単独の価格や導入企業での効果を示す実測値は掲載されていない。利用を検討する企業は、対象となるシステムや既存の脆弱性管理プロセスとの連携方法、判断結果の説明可能性などを確認する必要がある。