SBOM（Software Bill of Materials）

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧情報。ソフトウェアサプライチェーンの透明性を確保し、使用しているコンポーネントの脆弱性を迅速に把握するために活用される。

ソフトウェアに含まれる部品（OSSやライブラリ）とその版を一覧にした構成表。脆弱性が公表されたときに、影響を受ける製品を素早く特定でき、供給網全体の安全確保に役立つ。

ソフトウェアに含まれるライブラリやオープンソース部品の名称、バージョン、ライセンスを一覧化した部品表。脆弱性が公表されたときに影響を受ける製品を即座に特定でき、サプライチェーンリスクの管理に役立つ。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧とその依存関係を記録したリスト。サプライチェーンにおけるソフトウェアの脆弱性管理に活用され、脆弱性が発見された際の影響範囲の特定を迅速化する。

コンテナイメージに含まれるOSパッケージやライブラリの既知の脆弱性を検出し、修正していく取組み。イメージスキャナを使ってビルド時、レジストリへの登録時、稼働中に継続して検査し、信頼できる最小構成のベースイメージを使う、署名で改ざんを防ぐといった運用を行う。稼働中のコンテナに直接パッチを当てるのではなく、修正版からイメージを作り直して入れ替えるのが原則。

生成AIがコードを生成する際に実在しないパッケージ名を提案してしまう現象（パッケージハルシネーション）を悪用する攻撃。攻撃者は、AIが提案しがちな架空のパッケージ名でマルウェアを仕込んだパッケージを公開リポジトリに登録し、AIの提案をそのまま使った開発者にインストールさせる。タイポスクワッティングになぞらえた造語で、依存パッケージの実在と信頼性を確認することが対策となる。

健康を保つための衛生習慣になぞらえて、情報システムを安全な状態に保つために日常的に続ける基本的なセキュリティ対策。資産の把握、修正プログラムの適用、不要なアカウントの削除、パスワードの適切な管理、バックアップ、ログの点検などを組織全体の習慣として行う。

コード生成AIが、実在しないライブラリやパッケージの名前をもっともらしく提案してしまう現象。提案どおりにインストールすると、攻撃者がその名前で先回りして登録した悪意あるパッケージを取り込むおそれがある（スロップスクワッティング）。パッケージの実在と信頼性を確かめてから導入することが対策になる。

ソフトウェアに見つかった脆弱性を修正するために、開発元が提供する修正プログラム。脆弱性修正プログラムとも呼ばれ、公表された脆弱性は攻撃に悪用されやすいため、影響を確かめたうえで速やかに適用する。