Summary

  • GAO-26-107530では、24連邦機関のうち17機関の幹部が、OMBとNISTの指針の相違によってソフトウェア部品表（SBOM）の収集・保管が難しくなったと答えた。これは調達上の摩擦に関する回答であり、侵害件数ではない。
  • 旧OMB覚書M-22-18はSBOM収集を任意の静的な証明に近い扱いとし、NISTはリリースごとの部品データを脆弱性管理に使う方向を示した。OMBは2026年1月に旧覚書を撤回した。現行M-26-05は契約による最新SBOMの請求を認め、機関長に責任を置く。
  • GAOはCISAに対し、調達・開発・リスク管理でのSBOMの生成、受領、分析に関する実施指針を勧告した。問われるのはファイルの収集数より、稼働中の版から担当者の判断まで届く経路だ。

受領印の先にある仕事

SBOMはソフトウェアの構成部品を示す。調達担当者には、契約で要求した資料が届いたかを確かめる証拠になる。安全対策の担当者には、ある部品の脆弱性が、いま動いている版に当てはまるかを調べる材料になる。前者は受領時点で区切れる。後者は版の識別、更新、解析、対処の決定まで続く。ひとつのファイル名の下に、二つの異なる仕事がある。

2026年6月23日のGAO報告書は、その仕事の境目で連邦機関が困っていることを示した。24機関の情報・調達幹部への聞き取りで、17機関がOMBとNISTの指針の衝突をSBOMの収集・保管上の課題とした。同じ報告書では、クラウド費用管理の課題を挙げた機関も17だった。数字は同じでも質問が違う。費用問題をSBOM問題の件数に混ぜれば、監査結果の意味を壊す。

GAOの原報告が整理した相違は具体的だ。旧OMB指針ではSBOM収集は任意で、機関側が収集手続きを整える。一方、NISTは製造者がリリースごとの部品を追跡し、標準化された形で共有することを重視した。さらに旧OMBの扱いではSBOMは静的な遵守資料になりやすく、NISTの構想では脆弱性の照合とリスク管理に使われるデータとなる。契約に「SBOMを提出」と書くだけでは、どの版のデータを、誰がいつ使うのか決まらない。

五つの機関はGAOに対し、機関ごとに異なる様式や手順が、複数の政府顧客に納める製造者の負担になると述べた。別の五つは製造者からのSBOM取得が難しく、再販業者を通す場合もあると報告した。二組の機関が重複している可能性はある。ここから見える問題は十機関という合算値ではなく、データの作り手、契約上の相手、実際の利用者が一直線につながっていないことだ。

覚書は更新された。判断は現場に移った

OMBの2026年1月23日付M-26-05は、M-22-18とM-23-16を撤回した。旧覚書は監査で指摘された混乱の背景であって、現在の命令ではない。新方針はソフトウェアとハードウェアの完全な在庫、リスクに応じた管理、機関長の責任を維持する。そのうえで、機関が契約により最新のSBOMを要求に応じて受け取る選択を認める。クラウドサービスの場合、実際の本番稼働環境を対象にするよう契約で明確にすべきだとしている。

中央の細かな収集手順より、各機関の選択が重くなった。何を買うときにSBOMを求めるかはリスクに応じて決められる。求めると決めたなら、版、請求時期、仲介業者を通る場合の入手経路、受領後の利用者も決めなければならない。GAOは新覚書が責任を明確にした一方で、実務上の課題は残ると評価した。現在の環境に結び付かない古い部品表では、新たな脆弱性の知らせに十分な答えを返せない。

NISTのソフトウェア供給網に関する資料は、部品情報を安全対策に生かす技術上の道筋を示している。CISAが2025年9月に公表した共同ビジョンも、SBOMの作成、受領、分析を既存のリスク管理に組み込むことを掲げた。GAOは、その文書だけでは機関のツールや業務へデータをどう取り込むかが具体化されていないと指摘した。理念は目的を言えるが、受け渡しの手順までは書いてくれない。

CISAが埋めるべき一行

GAOは国土安全保障省に対し、CISAから実施指針を出すよう勧告した。対象はSBOMの生成、利用、分析を、調達、開発、リスク管理の実務につなぐ方法だ。同省は勧告に同意し、回答では2026年9月30日を作業完了の見込みとした。見込み日は発行済み文書の証明にはならない。この記事の確認時点で、GAOの公開勧告ページはOpenと表示されていた。

次の指針が役に立つには、製造者がどのリリースまたはクラウド本番環境の部品表かを示し、契約が必要時の入手を保証し、機関の安全担当がデータを読んで脆弱性と照合し、対処を記録できるようにする必要がある。再販業者を挟む契約では、この経路を一層はっきり書かなければならない。機関がファイルをいくつ集めたかより、脆弱な部品を見つけた日にその経路が動くかを見たい。

発行日と内容を確認できるCISAの具体的な実施指針、そして現行の部品データが契約と業務を通って使われた証拠が、評価を変える材料となる。GAOの17機関は、二つの指示書がどこでぶつかったかをすでに示した。残る仕事は、それらを一つの受け渡しにすることだ。

Sources