AGEST、「SBOM Archi」Ver2.3 リリースのお知らせ：脆弱性対応の「真の優先順位」を可視化。国内外の脆弱性情報のシームレスな連携で運用の効率化を実現
先端品質テクノロジーを活用してソフトウェアの品質・安全性向上を支援する株式会社AGEST(本社: 東京都文京区、代表取締役 社長執行役員 CEO: 二宮 康真、以下、「当社」)は、10月19日（月）に純国産のSBOM管理ツール「SBOM Archi（エスボム アーキ）」の最新バージョン「Ver2.3」をリリースしたことをお知らせいたします。
SBOMを用いた脆弱性管理において、「大量に検出される脆弱性の中から、どれを優先して対応すべきか」は、多くの企業が抱える共通の課題です。今回リリースしましたSBOM Archi Ver2.3では、日々報告される脆弱性のリスクを的確に評価し、セキュリティ担当者の運用負荷を大幅に軽減するための実践的な機能を強化しました。
■ SBOM Archi バージョン.2.3 アップデート内容
＜新機能及び性能改善＞
①「CVSS/EPSS相関プロット」の拡張により、対応の優先順位付けの明確化
SBOMから検出される膨大な脆弱性すべてに同時に対応することは現実的ではありません。本バージョンでは、CVSS（静的なリスク評価値）とEPSS（今後30日間に悪用される確率を推定する動的なリスク評価値）の2次元グラフ上に、実際の悪用状況を示す米国CISAが提供するKEV（Known Exploited Vulnerabilities Catalog）ステータスをあわせてプロットすることが可能になりました。
これにより、深刻度・悪用可能性・実際の悪用状況を1つの画面で見比べられるようになります。たとえば、「深刻度は高いが悪用の兆候が少ない脆弱性」と「実際にランサムウェア等で悪用されている脆弱性」を視覚的かつ明確に区別して対応計画を立てることができ、より実効性の高いトリアージを実現します。
②国内外の脆弱性IDをシームレスに関連付け、情報収集の負荷を削減
同じ脆弱性に対して情報源ごとに異なるIDが付与されている場合、「同じ脆弱性なのか」「どの情報を参照すればよいのか」の確認に手間がかかるという課題がありました。 Ver2.3では、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供しているJVN（Japan Vulnerability Notes）DB IDをエイリアスとして、プライマリCVEと関連付けて表示するアプローチを採用しました。これにより、情報源ごとの突き合わせ作業を減らせるだけでなく、どの情報源で検出された脆弱性かを一覧で確認できます。
また、他の海外DBとの相関関係が一目で分かり、JVNを中心に対策が行えます。その結果、経営層や関係部門、お取引先への説明資料を作成しやすくなり、社内外のコミュニケーションが円滑に行えます。
SBOM Archiは、SBOMを「作成して終わり」にせず、日々変化する脆弱性情報に追従しながら活用するためのプラットフォームとして、今後も進化を続けてまいります。
■ 今後の展望
「SBOM Archi」は、今後もユーザーのお客様からのフィードバックを迅速に反映し、さらなる機能の拡充をしてまいります。私たちは、純国産ツールならではのサポート・サービスを提供し、国内市場におけるSBOM管理ツールのトップシェア獲得を目指します。また、官公庁や民間企業におけるサプライチェーンリスク管理の標準化を牽引し、高度化するサイバー脅威からお客様のビジネスを守るための、より強固なセキュリティ環境の構築を支援してまいります。
以上
※ すべてのブランド、製品名、会社名、商標、サービスマークは各社に権利が帰属します。
【AGESTについて】
AGESTは、ソフトウェアテストサービスやセキュリティサービスの提供を通じて、お客様のプロダクトの品質向上に貢献するとともに、高度デジタル社会の発展への貢献を目指してまいります。
https://agest.co.jp
【本サービスに関するお問い合わせ】
株式会社AGEST サイバーセキュリティ事業本部
お問い合わせ先 : [email protected]
【報道関係者からのお問い合わせ】
株式会社AGEST IR広報室 広報担当
Mail: [email protected]
電話番号:03-6821-1753