SBOM

ソフトウェアに含まれる部品（OSSやライブラリ）とその版を一覧にした構成表。脆弱性が公表されたときに、影響を受ける製品を素早く特定でき、供給網全体の安全確保に役立つ。

ソフトウェアに含まれるライブラリやオープンソース部品の名称、バージョン、ライセンスを一覧化した部品表。脆弱性が公表されたときに影響を受ける製品を即座に特定でき、サプライチェーンリスクの管理に役立つ。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ソフトウェアを構成するOSSやライブラリなどの部品の名称、バージョン、依存関係、ライセンスを一覧にした部品表。新しい脆弱性が公表されたときにSBOMと照合すれば、影響を受ける製品やシステムをすぐに特定でき、脆弱性管理を迅速にできる。SPDXやCycloneDXといった標準の形式があり、脆弱性が実際に悪用可能かを伝えるVEXと組み合わせて使われる。

脆弱性を修正するために開発元が提供する更新プログラム。公開後は脆弱性の内容も知られるため攻撃が急増しやすく、適用の遅れが被害に直結する。検証環境での確認と迅速な展開を両立する運用体制が要る。

自組織の資産構成を把握したうえで脆弱性情報を収集し、影響度を評価して修正プログラムの適用や緩和策を計画的に実施する一連の活動。SBOMやソフトウェア構成分析を用いて依存関係まで含めて把握する。

セキュリティ対策を複数の層（レイヤー）に分けて実施する考え方。一つの対策が突破されても他の層で防御できるようにし、攻撃者の侵入を困難にする。ネットワーク、ホスト、アプリケーション、データなど各レベルで対策を講じる。

ソフトウェアやシステムに存在するセキュリティ上の欠陥や弱点。攻撃者に悪用されると、不正アクセスや情報漏えいなどのセキュリティインシデントにつながる。セキュリティパッチの適用やバージョンアップで修正する。

組織が把握・管理していない情報機器やクラウドサービスなどを、従業員が業務に利用すること。個人所有のスマートフォンや無許可のクラウドストレージの利用などが該当する。情報漏えいやセキュリティ事故のリスクを高める。

脆弱性の深刻度を0.0〜10.0の数値で評価するための共通基準。基本評価基準（脆弱性そのものの特性）、現状評価基準（時間の経過による変化）、環境評価基準（利用環境による影響）の3つの指標で構成される。