2026年のSBOM：みんな生成しているが、誰も活用していない

【なぜ重要か】 ENISAの調査により、多くの組織がSBOMを生成しているものの実際の活用に大きなギャップがあることが判明しました。EU CRAの完全適用を2027年12月に控え、単なるコンプライアンス対応を超えた実用的なSBOM活用が急務となっています。

【ポイント】

• CRAが最大の推進要因となっており、43%の組織がSBOM投資を大幅に加速、78%が取り組みを開始済み
• 74%がSBOM生成を部分的に自動化しているが、44%が生成と活用の間に適度なギャップ、23%に大きなギャップが存在
• 39%の組織が商用ソフトウェアのサプライヤーからSBOMを一切受け取れておらず、完全な依存関係の深度が必要な組織の24%に対し、実際に受け取れているのは14%のみ
• 脆弱性マッチング（58%）とデータ品質の問題（60%）が主要な課題として報告されている
• 小規模企業の23-25%が成熟した自動SBOM実装を持つ一方、大企業では4-6%にとどまる

【まとめ】 SBOMの真の価値は生成ではなく活用にあり、脆弱性管理とライセンス管理への統合が2026年の重要課題となります。組織は自動化されたSBOM生成、継続的更新、実際の脆弱性ワークフローとの連携を実現する必要があります。