SBOM

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧情報。ソフトウェアサプライチェーンの透明性を確保し、使用しているコンポーネントの脆弱性を迅速に把握するために活用される。

ソフトウェアに含まれる部品（OSSやライブラリ）とその版を一覧にした構成表。脆弱性が公表されたときに、影響を受ける製品を素早く特定でき、供給網全体の安全確保に役立つ。

ソフトウェアに含まれるライブラリやオープンソース部品の名称、バージョン、ライセンスを一覧化した部品表。脆弱性が公表されたときに影響を受ける製品を即座に特定でき、サプライチェーンリスクの管理に役立つ。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ソフトウェアを構成するOSSやライブラリなどの部品の名称、バージョン、依存関係、ライセンスを一覧にした部品表。新しい脆弱性が公表されたときにSBOMと照合すれば、影響を受ける製品やシステムをすぐに特定でき、脆弱性管理を迅速にできる。SPDXやCycloneDXといった標準の形式があり、脆弱性が実際に悪用可能かを伝えるVEXと組み合わせて使われる。

業務委託先の情報セキュリティ対策の実施状況を管理・監督すること。契約書へのセキュリティ要件の明記、定期的な監査・評価、再委託の管理、インシデント発生時の連絡体制の確認などを行う。

インターネットから到達できる自組織のIT資産（公開サーバ、ドメイン、クラウドサービスなど）を、外部から把握できる情報を使って継続的に洗い出し、脆弱性や設定の不備を評価して対処する取組。担当部署が把握していない資産や、管理が漏れた資産を見つけることが主な目的。外部に公開された資産に絞るものをEASM（External Attack Surface Management）とも呼ぶ。

プログラムが確保したバッファ（メモリ領域）の境界を超えてデータを書き込むことで、隣接するメモリ領域を破壊する脆弱性。スタック上のリターンアドレスを書き換えて任意のコードを実行される可能性がある。対策としてバッファサイズのチェック、安全な関数の使用、ASLR、DEP/NXビットの活用がある。

個々の脆弱性に対して一意のID（CVE-ID）を付与する、国際的な脆弱性識別の仕組み。MITRE社が管理し、脆弱性情報の共有や対策の標準化に貢献する。CVE-ID（例: CVE-2024-12345）により脆弱性を一意に特定できる。

脆弱性の深刻度を0.0〜10.0のスコアで定量的に評価するための国際的な基準。基本評価基準（脆弱性の技術的特性）、現状評価基準（攻撃コードの有無等）、環境評価基準（組織固有の影響）の3つの評価基準から構成される。

ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。