RESOURCES · GUIDE

SBOM・SCA ツールの選び方 — 5 つの評価軸と POC の進め方

スペック表はどれも似ている。差が出るのは 5 つの軸——そして自社の実コードでの POC だけがそれを明らかにする。

5 つの評価軸

軸	確認すること	差が出る理由
検出力	スニペット級検出、バイナリ解析、推移的依存の深さ	マニフェスト読取のみのツールは、コピーされたコード・ベンダリング・AI 生成断片を全て見逃す
データ品質	脆弱性 DB の網羅性と更新速度、独自情報の有無	スキャナの実力は照合先の質で決まる——情報源の数と反映速度を必ず聞く
誤検知の管理	バージョン精密照合、到達可能性分析、ポリシー定義	アラート疲れはプログラムを殺す。トリアージ工数こそ安いツールの隠れコスト
開発プロセスへの統合	CI/IDE 統合、増分スキャン速度、API	パイプラインを遅くするゲートは四半期以内に無効化される
コンプライアンス出力	SPDX/CycloneDX 出力、NOTICE 生成、監査レポート	顧客が受け取る文書こそ、顧客が評価するツールの姿

日本企業特有の確認項目

• オンプレミス/完全オフライン対応——製造業・金融のデータ要件では重要な選定条件となる。オフラインでの脆弱性情報更新まで確認する。
• 組込み・バイナリ対応——ファームウェアと納品バイナリの解析範囲(バイナリ SBOM ガイド参照)。
• OpenChain 準拠運用との整合——ISO/IEC 5230 のプロセス要件に沿った証跡出力ができるか。
• 日本語サポート体制——UI・レポート・窓口・脆弱性情報の日本語化の範囲。

POC チェックリスト

• 代表リポジトリ 2 つ(最大のモノリスと典型的なサービス)をスキャンする。
• 既知の基線で再現率を測る——既知のコンポーネントとコピー済みスニペット 1 つを仕込んで検出を確認。
• 「検出件数」ではなく「100 件あたりのトリアージ分数」を測る。
• 実際の PR 10 件で CI ゲートを回し、追加されたパイプライン時間を記録する。
• 出力した SBOM を実際の受領者(顧客対応部門・監査人)に渡し、実用性の判定をもらう。

英語版の評価チェックリスト PDF も利用できる:SCA Evaluation Checklist をダウンロード ↓。最短の第一歩は CleanSource Community Edition での実コードスキャンだ。

よくある質問

POC はどれくらいの期間を見るべきですか？

2〜4 週間が目安です。1 週間で代表リポジトリの統合とスキャン、残りで実際の CI 運用でのトリアージ負荷とゲート挙動を評価します。

日本語対応はどこまで確認すべきですか？

UI の翻訳だけでなく、レポート出力・サポート窓口・脆弱性情報の日本語化まで確認してください。監査資料は日本語で顧客に渡ることが多いためです。