サイバーセキュリティの強化に関する大統領令第14028号（https://www.nist.gov/itl/executive-order-14028-improving-nations-cybersecurity）という先例に倣い、セキュリティやコンプライアンスチームからのソフトウェア部品表(SBOM)の要求が増加しています。この目的は、ソフトウェアプロジェクトのオープンソースコンポーネントを特定し、新たな脅威に対するその脆弱性を評価したり、ライセンスポリシーとの整合性を確認することであり、そのためSBOMを簡単に生成し、共有することが求められています。

GitHubは、新たに導入するExport SBOM機能において、GitHubのクラウドリポジトリに対する読み取りアクセス権のあるユーザーなら誰でも、クリック1回でNTIA（https://ntia.gov/page/software-bill-materials）準拠のSBOMを生成できることを発表しました。作成されたJSONファイルは、バージョンやライセンスなどプロジェクトの依存関係とメタデータを業界標準のSPDX形式で保存するため、セキュリティおよびコンプライアンスのワークフローやツールで利用したり、Microsoft Excelでレビューすることが可能です(JSONからCSVへのコンバーターを使うとGoogle Sheetsとの互換性も確保できます)。

本セルフサービスの新機能を利用することで、オンデマンドで簡単にSBOMを生成できるほか、開発者が開発ワークフローの通常のステップにSBOM生成を組み込むことも可能です。すでにプロジェクトのSBOMがある場合は、依存関係グラフにアップロード（https://docs.github.com/code-security/supply-chain-security/understanding-your-software-supply-chain/using-the-dependency-submission-api）することで既知の脆弱性があるすべての依存関係に関してDependabotアラートを受信できます。また、GitHubのSBOM gh CLI拡張機能（https://github.com/advanced-security/gh-sbom）を使用して、リポジトリの依存グラフからSBOMをプログラムで生成できるほか、GitHub Action（https://docs.github.com/code-security/supply-chain-security/understanding-your-software-supply-chain/using-the-dependency-submission-api#generating-and-submitting-a-software-bill-of-materials-sbom）により、ビルド時にSBOMを生成することもできます。今後、依存関係グラフからSBOMを生成するREST APIも近日中に提供予定です。

セルフサービスのSBOMは、GitHubのサプライチェーンセキュリティソリューションの一環として、GitHubのすべてのクラウドリポジトリで無料で利用できます。

変更点

SBOMを生成するには、リポジトリの依存グラフにある新しい[Export SBOM]ボタンをクリックしてください。

 
これにより、機械可読なJSONファイルがSPDX形式で作成されます。