AGEST、欧州サイバーレジリエンス法への対応支援機能を追加したSBOM管理ツール「SBOM Archi 2.2」

　株式会社AGESTは18日、SBOM（ソフトウェア部品表）管理ツール「SBOM Archi（エスボム アーキ）」の新版「バージョン2.2」を提供開始したと発表した。

　SBOM Archiは、ソフトウェアに含まれるすべてのオープンソースソフトウェア（OSS）を正確にリスト化し、どの製品にどのバージョンの脆弱な部品が使われているかを明確にできるSBOM管理ツール。日々更新される脆弱性情報と照らし合わせることで、リスクの影響範囲を即座に特定でき、セキュリティ対応のスピードと網羅性を飛躍的に向上させることが可能という。

　今回のアップデートでは、2026年9月から欧州市場で段階的に報告義務化が始まる「欧州サイバーレジリエンス法（CRA：Cyber Resilience Act）」への対応を支援するため、3つの新機能を実装した。

　1つ目は、欧州連合（EU）のサイバーセキュリティ機関であるENISAが開発・運営する、EU公式の脆弱性データベース「EUVD（European Vulnerability Database）」への対応機能。EUVD-IDによる脆弱性の照合を行えるようになるため、2026年9月のCRA報告義務対応に備えられるという。なお、プロジェクトで「CRAモード」を有効にすると、CRAモードが有効なプロジェクトおよびターゲットには新たに「EUVD」タブが追加される。

　2つ目は、SBOMの更新履歴や脆弱性対応の意思決定プロセスのログといった、CRA要件に準拠した監査ログを保持する機能。SBOM Archi上のすべての保存操作が監査ログの対象になる。

　3つ目は、CRA報告ステータス管理機能。米国商務省国家電気通信情報庁（NTIA）によって開発が進められたセキュリティアドバイザリの形式のひとつ「VEX（Vulnerability Exploitability eXchange）」の技術的ステータスとは独立して、CRA固有のステータス（不要・未報告・CRA報告済み）を管理でき、報告先（例：ENISA）やチケットIDの記録を手動で行えるとしている。

　このほか今回は、システムやソフトウェアの脆弱性の深刻度を表す国際的な評価指標「CVSS（共通脆弱性評価システム）」の最新版である「バージョン4.0」に対応したほか、12項目の機能強化・改善や不具合修正が行われた。