システムを納品してもらってしばらく経ってから、脆弱性（＝ソフトウェアの弱点）のニュースを見て、「うちのシステムも対象なのだろうか」と不安になることがあります。確かめようにも、システムで使っている部品とそのバージョンの一覧が手元にない。そんな状況でお困りの方は少なくありません。
「システムで使っている部品とバージョンの一覧を、納品時にもらっていない。今から開発会社に頼んで作ってもらえるのか」
先に結論をお伝えします。納品から時間が経っていても、一覧は多くの場合あとから作れます。システムの部品は、開発会社が管理している設定ファイルやロックファイル（＝使った部品とバージョンを記録したファイル）から、専用のツールで書き出せることが多いためです。ただし、作業の費用が保守契約に含まれるかは契約次第なので、依頼の前に範囲を確かめておくと安心です。
この記事では、部品の一覧（SBOM）とは何か、あとから頼むときの進め方、そのまま使えるチェックリストと開発会社への質問例を解説します（執筆時点：2026年11月）。
「使っている部品の一覧」とは何か：SBOM の基本
最近のシステムは、ゼロから全部を作るのではなく、オープンソースなどの既存の部品（ライブラリ、フレームワーク）を組み合わせて作るのが一般的です。たとえば、画面を作る部品、ログインを扱う部品、PDF を出力する部品などです。
この部品の一覧を、SBOM（Software Bill of Materials、エスボム）と呼びます。食品の原材料表示のように、「このソフトウェアは、どの部品のどのバージョンでできているか」を書いた部品表のことです。
経済産業省は、SBOM の導入に関する手引を公開しています。
📰 出典：経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0」
この手引は、脆弱性への対応を含むソフトウェアの管理に SBOM を役立てる考え方をまとめたものです。2024年8月に ver2.0 が出ており、導入の効果とコストを考えながら、どこまで導入するかを検討する枠組みも示されています（内容は執筆時点で筆者が確認できた範囲です。詳細は原文をご覧ください）。
なぜ納品時に一覧をもらえないことがあるのか
一覧がないのは、開発会社が隠しているとは限りません。多くの場合、次のような事情があります。
- 契約や仕様書に、納品物として書かれていなかった：納品物は「ソースコードと設計書」までで、部品の一覧は含まれていないことがよくあります
- 一覧は開発の過程で自動的に記録されているが、読みやすい形で渡す習慣がなかった
- 発注者から求められたことがなかった：SBOM は比較的新しい考え方で、中小規模の案件では、まだ標準の納品物になっていないことが多くあります
つまり、「もらっていない」のは珍しいことではなく、「今から頼んではいけない」わけでもありません。
あとから一覧を作ってもらう5ステップ
1. まず、一覧が何のために必要かを伝える
「脆弱性のニュースが出たときに、自社が対象かどうかをすぐ確認したい」のように、目的を先に伝えます。目的が分かると、開発会社は必要な形式と範囲を提案しやすくなります。
2. 対象のシステムと範囲を決める
システムごと、また画面側（フロントエンド）とサーバー側（バックエンド）で、部品の一覧は別になります。まず、いちばん重要なシステムや、インターネットに公開しているものから頼むと、費用も手間も抑えられます。
3. 一覧に入れてほしい項目を伝える
次の項目があれば、ニュースと照らし合わせるのに使えます。
| 項目 | 何のために使うか |
|---|---|
| 部品の名前 | ニュースで名前が出たとき、該当するか探す |
| バージョン | 脆弱性の影響を受ける版かどうかを判断する |
| 入れ方（直接使っているか、別の部品の中で使われているか） | どこを直せばよいかを判断する |
| ライセンス（＝利用条件） | 商用利用や再配布の制限を確認する |
4. 作成の費用と期間を、先に見積もってもらう
ツールで書き出す作業は短時間で済むことも多い一方で、結果の確認や、見つかった古い部品への対応方針の整理には時間がかかることがあります。「一覧の作成まで」と「その後の対応」を分けて見積もってもらうと、判断しやすくなります。
5. 定期的に更新する取り決めを作る
一覧は、作った時点の記録です。部品は更新されるので、半年に一度、または大きな変更のたびに作り直す取り決めにしておくと、古い一覧で判断するリスクを減らせます。
やりがちな失敗
- 一覧を作っただけで安心してしまう：一覧は現状を知るための道具です。古い部品が見つかったら、更新の優先順位を決める必要があります
- 「全部のシステム」を一度に頼む：範囲が広すぎると、見積もりが大きくなり、話が進まなくなりがちです
- 一覧のファイルを受け取ったまま、誰も見ない：ニュースが出たときに誰が確認するのか、担当を決めておきます
- 「絶対に安全になる」と期待する：一覧があっても、脆弱性がすべて防げるわけではありません。あくまで気づくための材料です
社内の資産管理とあわせて考える
システムの部品の一覧は、社内で使っている機器やソフトウェアの一覧（資産管理台帳）の一部とも言えます。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」には、資産管理台帳のひな形（付録）が用意されています。
📰 出典：IPA「中小企業の情報セキュリティ対策ガイドライン」
執筆時点では第4.0版が公開されています。システムの部品の一覧を、この台帳にどう位置づけるかを決めておくと、社内の管理がまとまります。
脆弱性ニュースが出たときに自社が対象か確認する方法は、次の記事でも解説しています。
また、納品物にオープンソースが使われているか確認する方法は、次の記事で解説しています。
発注者がやること チェックリスト
- ☐ 一覧が必要な理由（脆弱性ニュースへの対応など）を、社内で言葉にした
- ☐ 契約書・仕様書で、納品物に部品の一覧が含まれているか確認した
- ☐ 最初に一覧を作る対象のシステムを、重要度で決めた
- ☐ 一覧に入れてほしい項目（部品名・バージョン・入れ方・ライセンス）を決めた
- ☐ 一覧の作成と、その後の対応を分けて見積もりを依頼した
- ☐ 更新の頻度（半年に一度など）と、受け取った一覧を見る担当者を決めた
- ☐ 契約や保守の範囲に含まれるか、追加費用になるかを確認した
開発会社への質問例
- 「このシステムで使っている部品とバージョンの一覧は、今から出していただけますか。出せる場合、どのような形式のファイルになりますか？」
- 「一覧の作成は、現在の保守契約の範囲に入りますか。別料金になる場合の費用と期間の目安を教えてください」
- 「一覧には、直接使っている部品だけでなく、その部品が内部で使っている部品も含まれますか？」
- 「古い部品や、開発元の更新が止まっている部品が見つかった場合、どのように報告していただけますか？」
- 「今後、システムを更新するたびに、一覧も一緒に更新していただくことは可能ですか？」
質問への答え方から、部品の管理を普段からしている会社かどうかも見えてきます。
まとめ：まず「作れるか」を聞き、範囲を小さく始める
- 部品の一覧（SBOM）は、納品後でも多くの場合あとから作れる
- 費用が保守に含まれるかは契約次第なので、依頼の前に確認する
- 最初は重要なシステム1つから、一覧の作成とその後の対応を分けて頼む
- 一覧は作って終わりではなく、更新と確認の担当を決める
「うちの契約ではどうなのか」と迷う場合は、契約書の内容に合わせて、弁護士や専門家にも確認してみてください。一覧づくりの進め方から相談したいときは、お気軽にご連絡ください。
あわせて読みたい関連記事
