--- title: "SBOM活用・脆弱性管理 | grasys（グラシス）" url: "https://www.grasys.io/services/sbom" description: "ソフトウェア構成と既知の脆弱性を関連付け、資産の状況を踏まえて対応優先度を整理。SBOMの設計・導入から、継続評価・レポート提供まで支援します。" --- ![](/_astro/hero-background.D2_eLSxl_Z1smqxJ.webp) # SBOM活用・脆弱性管理 ソフトウェア構成を可視化し、対応すべき脆弱性を判断できる運用へ ソフトウェア構成と既知の脆弱性を関連付け、資産の状況を踏まえて対応優先度を整理。SBOMの設計・導入から、継続評価・レポート提供まで支援します。 [資料請求](/document-request/)[お問い合わせ](/contact/) ![SBOM活用・脆弱性管理](/_astro/hero.Cgp9DFoN_2oD90P.webp) ## ソフトウェア構成に潜むリスクを可視化し、セキュリティ対応を計画的に grasysはSBOMを活用し、取得できたOSのパッケージやミドルウェア、アプリケーションの依存ライブラリと既知の脆弱性を関連付けます。資産の状況を踏まえて優先度を整理し、合意した範囲でインフラ領域の対策実行を支援します。 お客様はその判断材料を基に、開発ロードマップや変更可能な時期を踏まえた改修計画を検討できます。 **ソースコード**コードの欠陥検査は対象外 **アプリケーションの依存ライブラリ**評価・管理の対象 **ミドルウェア**評価・管理の対象 **OS**カーネル・OSパッケージなど **ハードウェア**SBOMによる脆弱性評価の対象外 grasysが評価・管理を支援 OSから依存ライブラリまで、 構成と既知の脆弱性を関連付ける 取得できた構成情報を基に、資産の利用環境や業務への影響を踏まえて対応優先度を整理します。 インフラ領域の対策実行は合意した範囲で支援。アプリケーションの改修はお客様が担当します。 対象OS・パッケージ形式・取得条件によって収集できる範囲は異なります。導入時に対象範囲と役割分担を確認します。 ## 調査・評価の負担を抑え、開発チームが対応判断と改修に集中できる環境へ grasysが検出結果を調査し、SSVCの考え方を活用して対応優先度を整理します。悪用状況や資産の利用環境、業務への影響を踏まえ、評価結果と判断の根拠をレポートにまとめます。 調査・評価と報告を支援することで、お客様が対応方針の最終決定やアプリケーションの改修に取り組めるよう、役割を分担します。 運用プロセス 1. ステップ1 **スキャン実行・SBOM作成** 合意した頻度と構成変更に合わせてスキャンし、SBOMを作成・更新します。構成に変更がなければ保存済みSBOMを再評価します。 grasys 2. ステップ2 **対応の優先度づけ** 悪用状況、公開範囲、攻撃の自動化可能性、人や業務への影響を確認。SSVCの考え方を活用して対応優先度と判断の根拠を整理します。 grasys 3. ステップ3 **報告・協議** 判断材料と前回からの変化をレポートで共有し、対応の要否や時期を協議します。対応方針はお客様が最終決定します。 grasys・お客様 4. ステップ4 **対策実施** 合意した範囲でgrasysがインフラ領域の対策を支援します。アプリケーションの改修はお客様が担当します。 合意した役割分担で実施 5. ステップ5 **ルール見直し** 対応結果、構成変更、実際の運用を踏まえ、対象範囲、評価に使う資産情報、確認・報告の方法を継続的に見直します。 grasys・お客様 主な担当範囲 **grasys**1〜5：検査・評価から、合意した対策支援・見直しまで **お客様**3〜5：方針決定・アプリケーション改修・見直し この流れを繰り返し、構成と脆弱性情報の変化を運用に反映します。実施頻度・対策範囲は個別に合意し、資産情報や業務への影響はお客様と確認します。 ## レポートで、判断材料と関連パッケージを確認 SyftによるSBOM生成とGrypeによる脆弱性情報との照合結果を基に、grasysが開発したアプリケーションがHTMLレポートを出力します。全体の判定状況や対応優先度を示すサマリに加え、個別の脆弱性の判断材料と関連する構成要素を確認できます。 以下は詳細画面の表示例です。識別情報・構成情報・評価値は x 文字に置き換えています。納品するSBOMデータとレポート、受け渡し方法は個別に合意します。 ![個別の脆弱性について、SSVCの判断材料とCVSSを確認する画面。対象や実際の評価値は x 文字に置換。](/_astro/report-assessment.B8yV73A6_Z20mGeo.webp) 悪用状況、資産の露出度、攻撃の自動化可能性、影響度など、対応優先度の判断材料を確認できます。CVSSなどの補足情報はSSVCの判定と区別して扱います。 ![対象パッケージ、現在のバージョン、修正済みのバージョン、検出パスを確認する画面。実際の構成情報は x 文字に置換。](/_astro/report-packages.4UCN9gVS_Z1xQ2pv.webp) 関連する構成要素と、取得できる修正情報を確認できます。「修正済みのバージョン」は修正を含むバージョンの情報で、現在の環境への適用済みを示すものではありません。 ## SBOM活用・脆弱性管理の3つの支援 対象環境に合わせた仕組みの設計・導入から、継続評価・レポート提供、合意した範囲でのインフラ領域の対策実行まで支援します。実施頻度と役割分担は個別に整理します。 ### ソフトウェア構成の可視化 利用しているソフトウェアの構成要素をSBOMとして整理します。対象環境や既存の管理方法を確認し、構成情報の収集・保管・更新の仕組みを設計・導入します。 ### 脆弱性の評価・対応優先度の整理 構成情報と既知の脆弱性を関連付け、悪用状況や対象資産の利用環境・影響度を踏まえて優先度を整理します。評価結果と判断の根拠をまとめ、対応方針の検討につなげます。 ### 継続評価・レポート提供 対応優先度と判断材料をレポートにまとめ、お客様と対応方針を協議します。構成情報の更新や保存済みSBOMの再評価、前回との差分確認を続け、合意した対策と運用の見直しにつなげます。 ## 構成の把握から、根拠のある対応判断へ SBOMは、ソフトウェアを構成する要素をまとめた「ソフトウェア部品表」です。grasys（グラシス）は、SyftによるSBOM生成とGrypeによる既知の脆弱性との照合に、資産の状況を踏まえた優先度の整理を組み合わせます。grasysが開発したアプリケーションでHTMLレポートを生成し、対応の順序や判断材料を共有します。画像は提供サンプルのサマリで、レポート件数や対応優先度別の件数を確認できます。 - SBOMによるソフトウェア構成の可視化 - 資産の状況を踏まえた対応優先度の整理 - 判断材料を共有するレポートの提供 - 再評価と差分確認による継続的な管理 ![レポート件数、判定状況、前回との差分、SSVCの対応優先度別件数を一覧できるサマリ画面。](/_astro/report-summary.CwG0nB_4_2544MD.webp) ## SBOM活用で得られる4つの判断材料 ### 確認すべき対象が分かる 脆弱性と関連する構成要素を結び付け、自社で確認が必要な対象を把握できます。 ### 対応の順序を決めやすくなる 悪用状況と資産の状況を踏まえ、優先して確認・対応する項目を整理できます。 ### 判断の根拠を共有できる 優先度と判断材料、修正情報などをレポートで確認し、関係者の認識を揃えられます。 ### 前回からの変化を追える 新たな検出や評価の変化を確認し、継続的に対応を見直せます。 ## クラウドのセキュリティ・運用改善に関する関連事例 クラウドのセキュリティ強化や運用改善を支援した関連事例をご紹介します。 [![上場に向けたAmazon Web Services（AWS）基盤刷新で可用性とセキュリティを強化](/_astro/kh_grasys_02.BtefE4F7_Z1NJUmN.webp)](/case-studies/iace-travel-aws-infrastructure/) ### [上場に向けたAmazon Web Services（AWS）基盤刷新で可用性とセキュリティを強化](/case-studies/iace-travel-aws-infrastructure/) クラウドインフラの運用には専門知識が不可欠だ。出張手配サービスを提供するＩＡＣＥトラベルは、サービスの急成長とIPOに伴って可用性やセキュリティの課題に直面した。“インフラのプロ”の力を借りていかに解決したのか。 [事例を見る](/case-studies/iace-travel-aws-infrastructure/) [![Google Cloud（GCP）移行でセキュリティ強化と安定運用を両立](/_astro/DSF5326-1.D1sx51gi_Z2rNL5I.webp)](/case-studies/shimadzu-google-cloud-security/) ### [Google Cloud（GCP）移行でセキュリティ強化と安定運用を両立](/case-studies/shimadzu-google-cloud-security/) Google Cloud（GCP）を活用した基盤刷新により、セキュリティ強化とシステム統合を両立。安全で使いやすい環境へと進化しました。 [事例を見る](/case-studies/shimadzu-google-cloud-security/) [![Google Cloud（GCP）移行で不正ログイン対策サービスの安定運用を実現](/_astro/S__27115553.BbGdc_6i_Z1Os9Fa.webp)](/case-studies/capy-google-cloud-operations/) ### [Google Cloud（GCP）移行で不正ログイン対策サービスの安定運用を実現](/case-studies/capy-google-cloud-operations/) 不正ログインを防ぐ「パズルCAPTCHA」などを提供するCapy株式会社。grasys（グラシス） が選ばれた決め手や、長年の grasys（グラシス） との連携についてご紹介します。 [事例を見る](/case-studies/capy-google-cloud-operations/) Discover ## この内容に関連する課題・目標・技術 同じ文脈にあるサービスや実績を、別の視点から探せます。 ### 課題 - [セキュリティ・統制を強化したい](/problems/security-governance/) ### 実現したいこと - [ソフトウェア構成と脆弱性を継続管理したい](/outcomes/manage-software-vulnerabilities/) ### 技術 - [SBOM](/technologies/sbom/) - [Syft](/technologies/syft/) - [Grype](/technologies/grype/) ## 脆弱性対応を継続できる運用へつなげませんか？ 構成情報の管理、対応優先度の整理、継続評価・レポート提供を、お客様の運用体制に合わせてご提案します。 [資料請求](/document-request/)[お問い合わせ](/contact/) ## 導入から継続評価までの4ステップ システム構成やセキュリティ・コンプライアンス要件を伺い、本番への影響を抑える取得方法を設計します。grasysが構成・運用ルールの設計を主導し、お客様と実際の運用に合う進め方を共同で整えます。 01 ### ヒアリング・お見積もり システム構成、管理対象、現在の課題、セキュリティ・コンプライアンス要件を確認します。収集・評価の対象とインフラ運用を含む必要な支援を整理し、費用をご提示します。 02 ### 構成・運用ルールの設計 取得方法、SBOMの出力形式・保管方法、SSVCの判断に使う資産の露出度・影響度を整理します。検査・報告の頻度、対応方針の決め方、担当範囲を合意します。 03 ### 環境構築・初回評価 合意した取得方法に合わせて検査環境とスキャナーなどのツールを準備し、SBOM生成と初回評価を実施します。レポートの読み方と対応の進め方を共有します。 04 ### 運用開始・継続的な見直し 必要に応じて負荷や動作の確認を経て運用を開始します。合意した頻度で検査・再評価と報告を続け、構成変更や対応結果を踏まえて対象範囲と運用ルールを見直します。 ## よくあるご質問 対象環境、SBOMの更新、脆弱性の評価、レポート提供と費用に関する主なご質問です。 対象・運用脆弱性対応・費用 ### どのような環境・ソフトウェアを対象にできますか？ OSのパッケージ、ミドルウェア、アプリケーションの依存ライブラリなどを対象に、OS・ディスク構成・取得条件を確認して収集できる範囲を整理します。対象環境によって取得できる情報は異なり、ソースコードの欠陥を網羅的に検査するサービスではありません。 ### 本番サーバーにスキャナーを導入する必要がありますか？ Google Compute Engine（GCE）では、対象ディスクを複製し、別の検査環境へ読み取り専用で接続する方式を検討できます。OSやディスク構成などの条件を確認し、本番への影響を抑える方法を設計します。必要に応じて負荷や動作を確認してから運用を開始します。 ### SBOMの更新と脆弱性の評価は、どの頻度で行いますか？ 頻度は週次などに固定せず、構成変更のタイミング、脆弱性情報を確認する必要性、運用体制に合わせて個別に合意します。構成に変更がない場合は保存済みSBOMを再評価でき、構成が変わった場合はSBOMも更新します。 ### 導入後の評価やレポート提供も依頼できますか？ はい。仕組みの設計・導入支援に加え、継続的な評価とレポート提供にも対応します。対象範囲、実施頻度、結果の確認方法、お客様とgrasys（グラシス）の役割分担を整理します。 ### 導入時に、お客様側で準備することはありますか？ 対象システムと管理者、取得に必要な権限、外部からのアクセス状況、業務への影響、変更できる時間帯などを確認します。分かる範囲の情報からgrasysと整理し、対応方針を決める担当者と報告先を決めます。 ### SBOMの形式と納品物は何ですか？ CycloneDXまたはSPDXのJSON形式のSBOMと、判断材料を共有するHTMLレポートを扱います。納品するデータ、保管方法、受け渡し方法は個別に合意します。形式を途中で変更する場合は、連携先や過去データとの比較・再評価への影響を確認して進めます。 ### 脆弱性の対応優先度は、どのように決めますか？ SSVCという、状況に応じて対応優先度を整理する考え方を活用します。悪用状況や攻撃の自動化可能性に加え、お客様と整理した資産の露出度、人や業務への影響を判断材料にします。評価結果と判断の根拠をレポートで共有します。 ### レポートでは何を確認できますか？ 対応優先度の集計、脆弱性ごとの判断材料、関連パッケージ、取得できる修正バージョン・参照先、比較対象がある場合の前回との差分を確認できます。CVSS・EPSS・CISA KEVなどはSSVCの判定と区別して補足情報として扱います。判定完了は対策完了を意味せず、修正バージョンの表示も現在の環境への適用済みを示すものではありません。差分の「解消」は検出されなくなった項目を表し、構成や検査条件の変化も確認して対応状況を判断します。 ### 脆弱性が見つかった後の対策も依頼できますか？ grasysが判断材料を整理し、お客様と対応方針を協議します。インフラ領域の対策実行支援は、対象範囲・作業内容・実施条件を個別に合意して進めます。対応方針の最終決定とアプリケーションの改修はお客様側で担い、必要な情報を共有します。 ### 誤検知・検出漏れや、新しい脆弱性情報にはどう対応しますか？ 検出結果は取得できた構成情報と利用する脆弱性データに依存し、誤検知や検出漏れをなくす保証はありません。対象への該当性や影響を確認し、必要に応じて追加調査を行います。新しい情報はデータの更新と合意した評価頻度に応じて確認し、構成変更時はSBOMも更新します。 ### 費用はどのように決まりますか？ 対象環境と規模、収集方法、既存ツールとの連携範囲、評価・レポート提供の頻度、導入・運用の支援範囲を確認し、個別にお見積もりします。