NEC、SBOM自動生成機能を追加した「軽量プログラム改ざん検知ソフト」の新バージョンを発表

　日本電気株式会社（以下、NEC）は7日、NECセキュリティ株式会社と連携し、機器に搭載されたソフトウェアのSBOM（Software Bill of Materials、ソフトウェア部品表）を自動生成する機能を追加した軽量プログラム改ざん検知ソフトの新バージョンを11月1日に販売開始すると発表した。

　NECは製品提供の背景として、産業機器や自動車、医療機器、POS端末など、多様な機器がネットワークに接続される中、それらを狙ったサイバー攻撃が増加しており、特に医療機器をはじめとする社会インフラを支える製品では、ソフトウェアの脆弱性を悪用した攻撃への対策が重要な経営課題となっていると説明する。

　また、EU Cyber Resilience Act（CRA）をはじめとする規制強化を背景に、SBOMの作成・維持管理などソフトウェアサプライチェーンの透明性向上が求められている。一方で、SBOMの作成・維持管理には多くの工数が必要で、開発現場や製品セキュリティ担当部門にとって大きな負担となっている。NECとNECセキュリティは、こうした課題の解決に向けて、SBOM自動生成機能と軽量な改ざん検知機能を組み合わせたソリューションを提供する。

　一般的に、産業機器や自動車、医療機器などに搭載される多数のソフトウェアについてSBOMを作成・維持管理する場合、多大な工数が発生するが、改ざん検知ソフトの新バージョンでは機器に搭載されたソフトウェア情報をもとにSBOMを自動生成することで、SBOM作成に伴う作業負荷を軽減する。

　例えば、1万個のソフトウェアに対してSBOMを作成する場合、手作業では約70日を要するが、新バージョンでは約3分で作成できる（NEC試算、一定条件下における比較）。これにより、ユーザーはSBOM作成・維持管理業務を効率化しながら、製品セキュリティ規制や取引先要求への対応を進められる。

　また、同製品は、運用中の機器に対するプログラム改ざんを検知できる。一般的に、改ざん検知やセキュリティ監視機能はCPUやメモリ資源を消費し、機器性能に影響を与える場合があるが、製品は独自技術によりCPU使用量を抑制しているため、機器への負荷を最小限に抑えながら改ざん検知を実現する。

　これにより、産業機器や医療機器など、高い安定稼働が求められる環境においても運用を継続しながらセキュリティ強化を図れる。

　さらに、SBOMを最新の状態で管理することで、機器上で動作するソフトウェアとSBOMに記載されたソフトウェア構成との差分を把握しやすくなる。製品は、SBOMと異なるソフトウェアを検知することで、最新版の適用やパッチ適用が行われていない可能性のあるソフトウェアの確認を支援する。

　これにより、ユーザーは正式なアップデートやパッチ適用までの間も、脆弱性を悪用した攻撃リスクを抑えながら機器運用を継続できる。運用停止が難しい現場における実効性の高いセキュリティ対策として活用できる。

　NECとNECセキュリティは今後も、産業、自動車、医療、小売りなど幅広い分野における製品セキュリティ対策の高度化を支援していくとしている。