株式会社Orchestra Holdingsの子会社でソフトウェアの第三者検証を手がける株式会社ヴェスは、製品セキュリティ管理クラウドサービス「SBOM＋（SBOM plus）」の正式提供を2026年9月1日に開始する。同サービスは、製品セキュリティ管理に必要なSBOMの生成・管理、脆弱性情報の収集・管理、EUサイバーレジリエンス法（CRA）への対応および証跡管理を一元的に支援する。2026年7月より提供されていたβ版を経て、Viettel Cyber Securityおよびアートネット株式会社との共同開発により正式版の提供に至った。

製品セキュリティに関わる業務課題を解決

OSSやサードパーティコンポーネントの利用拡大に伴い、ソフトウェアサプライチェーンにおけるセキュリティリスクへの対応や、CRAをはじめとする法規制への対応が求められている。製品セキュリティ管理では、SBOMの作成に加え、コンポーネントの継続的な把握、脆弱性情報の収集・評価、部門間の情報共有、外部報告への対応、履歴管理など多岐にわたる業務が発生する。

同サービスはこれらを一元管理することで、CRA対応運用の自動化・一元化や、更新が滞りがちなSBOMの管理、手動による脆弱性確認、PSIRT・開発・品質保証部門間での情報共有の煩雑さ、外部からの脆弱性報告への対応フロー未整備といった課題の解決を支援する。

多様な形式のSBOM生成や脆弱性管理などの主要機能

同サービスが備える主な機能は以下の通りとなる。

• 多様な形式に対応したSBOM生成・管理：ソースコード、バイナリ、コンテナイメージなど多様な入力形式からSBOMを生成・解析し、製品単位でソフトウェア構成情報を継続管理できる。
• 脆弱性情報の収集・トリアージ：SBOMに含まれるコンポーネントと脆弱性情報を紐付け、KEV（Known Exploited Vulnerabilities）情報などを活用して優先順位付けや影響範囲の把握を行う。
• 製品の脆弱性対応の一元管理：PSIRT、開発、品質保証などの複数部門間で対応状況を可視化し、外部から報告された脆弱性の受付から情報開示までのプロセスも管理する。
• CRA対応に向けた証跡管理：脆弱性管理や報告対応、情報開示に関する対応履歴を蓄積し、規制対応や監査における説明責任の確保を支援する。

4つのプラン展開とトライアルの提供

料金プランは、利用製品数や機能に応じて「フリー」「スターター」「プロ」「エンタープライズ」の4種類が用意されている。全プラン共通で1製品あたりのSBOM生成数に制限は設けられていない。一部機能を無償で利用できるフリープランのほか、導入検討企業向けにプロプランの機能を3製品まで試用できるトライアルも提供される。なお、エンタープライズプランのトライアルについては個別相談で受け付ける。

また、同社ではサービスの普及に向けて販売パートナー（リセラー）の募集も行っている。

サービスおよび開発・販売各社の概要は以下の通りである。

サービス概要

• サービス名：SBOM＋
• 提供開始日：2026年9月1日
• 提供形態：クラウドサービス
• 販売元：株式会社ヴェス
• 共同開発：Viettel Cyber Security、アートネット株式会社

株式会社ヴェス

• 代表者：代表取締役 中村 慶郎
• 所在地：東京都渋谷区恵比寿4-20-3 恵比寿ガーデンプレイスタワー8階
• 設立：2003年7月1日
• 事業内容：ソフトウェア品質検証事業、ソフトウェア開発事業

Viettel Cyber Security

• 代表者：Chairman, CEO グエン・ソン・ハイ
• 所在地：ベトナム ハノイ市カウザイ区ディックヴォン地区 カウザイ新都市 D26区画

アートネット株式会社

• 代表者：代表取締役 ファン クアン チュオン
• 所在地：東京都新宿区西新宿2丁目6番1号 新宿住友ビル18F

本記事は株式会社ヴェスの発表をもとに作成。