組込み・車載ソフトのSBOM作成で起きるポイント10選
（差し戻し防止チェックリスト）
組込み・車載ソフトのSBOMは、一般ITよりも「差し戻し」が起きやすいです。
理由は単純で、製品の版数（派生モデル/構成違い）が多いことと、ベンダー提供バイナリ・独自改変・ビルド条件などが複雑に絡み、SBOMが“現物”とズレやすいからです。
このページでは、OEM照会・監査でよく刺さる「SBOMあるある」を 10項目のチェックリスト にしました。提出前・照会回答前の最終確認に使ってください。
まずはテンプレを先に入手（列を固定しないと必ず崩れます）
SBOM品質の差は、ツールより 「列が固定されているか」 で決まります。
最初にテンプレ（社内の正本）を作って、表記ゆれ・入力漏れを潰すのが先です。
チェックリスト：SBOM作成で起きるポイント10選（原因と直し方）
Excelで回す場合は、あらかじめチェック欄つきのテンプレに寄せておくと修正が早いです。
1) 対象スコープ（製品名×製品版数×派生）が曖昧
2) 直接依存だけで、間接依存（transitive）が抜ける
3) ベンダー提供バイナリ（SDK/ドライバ）を「自社製」扱いにしている
4) フォーク/バックポートがあるのに、上流版数だけで記載
5) コンポーネント名の表記ゆれ（OpenSSL/openssl等）
6) ビルド条件（機能ON/OFF）でSBOMが版数と一致していない
7) 版数が曖昧（latest／range／空欄）
8) 生成時点・更新日・更新者が分からない
9) 提出版と社内正本が混ざる（マスキングルールなし）
10) 提出前の“最低限の検証”をしていない
最後に：差し戻しを減らす「最小3点」
チェックリストを回したら、提出・回答前にこの3点だけ再確認してください。これだけで致命的な事故は防げます。
- 対象版数が言い切れる（暫定/確定も明記）
- 根拠が残っている（SBOM行・構成表・チケットIDなど）
- いつ時点のSBOMか説明できる（更新日/スナップショット）
FAQ：車載ソフトのSBOM作成について
派生構成が多く、ベンダー提供バイナリや独自改変が混ざり、「現物とSBOMのズレ」 が起きやすいからです。まず対象版数と構成条件を固定すると事故が減ります。
MVP段階は問題ありません。重要なのは形式より、列の固定・表記ゆれ防止・更新運用です。まずはテンプレに寄せて運用を回してください。
上流版数の表記だけで断定せず、独自パッチの有無と根拠（チケットID等）を残してください。「上流は脆弱だが当社は対策済み」を説明できる形にするのがポイントです。
目的（照会回答/契約/監査）で変わります。社内正本と混ぜず、抜粋区分とマスキングルールを決めて再現可能にしておくのが安全です。
SBOMの作成と提出、AIで効率化しませんか？
SBOMの整備方針やOEM提出範囲でつまずいている方は、無料のオンライン相談をご利用ください。
Auto PSIRT Cloudなら、既存のExcel部品表をアップロードするだけで、表記ゆれの吸収から脆弱性チェック、OEM指定フォーマットへの自動出力までを一気通貫でサポートします。