[論文レビュー] An Empirical Study on Software Bill of Materials: Where We Stand and the Road Ahead

Boming Xia, Tingting Bi+3 more|arXiv (Cornell University)|Jan 13, 2023

Software Engineering Techniques and Practices被引用数 5

ひとこと要約

本研究は、15か国から17名のインタビューと65件のアンケートを実施した混合研究手法を通じて、実務家たちのソフトウェア・ビル・オブ・メタル（SBOM）導入に関する認識を実証的に調査するものである。SBOMの実務、ツール化、懸念事項の面で、特に標準化、プライバシー、ツールの整合性に関する主要な課題を特定し、ゴールモデルを提言するとともに、AI/ソフトウェア供給チェーンセキュリティ分野における将来の重要な方向性としてAIBOMを強調している。

ABSTRACT

The rapid growth of software supply chain attacks has attracted considerable attention to software bill of materials (SBOM). SBOMs are a crucial building block to ensure the transparency of software supply chains that helps improve software supply chain security. Although there are significant efforts from academia and industry to facilitate SBOM development, it is still unclear how practitioners perceive SBOMs and what are the challenges of adopting SBOMs in practice. Furthermore, existing SBOM-related studies tend to be ad-hoc and lack software engineering focuses. To bridge this gap, we conducted the first empirical study to interview and survey SBOM practitioners. We applied a mixed qualitative and quantitative method for gathering data from 17 interviewees and 65 survey respondents from 15 countries across five continents to understand how practitioners perceive the SBOM field. We summarized 26 statements and grouped them into three topics on SBOM's states of practice. Based on the study results, we derived a goal model and highlighted future directions where practitioners can put in their effort.

研究の動機と目的

• 既存の業界レポートに欠けている点を補うために、実務家視点からSBOM実務の現状を理解すること。
• 使いやすさ、利用可能性、整合性の課題を含め、SBOMツールの実務家による認識を調査すること。
• 標準化の欠如、データプライバシー、業界のコミットメントの欠如といった、SBOM導入における最も深刻な懸念事項を特定すること。
• 特にAI/ML分野（AIBOM）における今後の運用化に向けたゴールモデルと研究方向性を提言すること。

提案手法

• 17名のSBOM実務家を対象とした深掘り型の半構造的インタビューと、15か国から集まった65名の回答者を対象とした定量的アンケートを組み合わせた混合研究手法を実施。
• 定性的コード化を用いてインタビューのデータから26件の代表的発言を抽出し、アンケートによる検証と定量的分析を実施。
• SBOM実務、ツール支援、実務家の懸念の3つの主要トピックに分類し、グローバル視点からの主題的分析を実施。
• 実務家たちの期待と課題に基づいてゴールモデルを構築し、今後のSBOMの標準化と実装を支援する。
• 2022年SBOMリーダーシップレポートと照らし合わせ、焦点、手法、範囲の違いを明らかにした。特にソフトウェア工学的視点の強調を強調。
• AIBOM（AI/ML特化型SBOM）やSBOMにおけるデータプライバシーといった、新たな懸念を統合し、進化するソフトウェア供給チェーンのニーズを反映した。

実験結果

リサーチクエスチョン

• RQ1 生成、配布、検証、脆弱性管理の観点から、SBOM実務の現在の状態はどのようなものか？
• RQ2 使いやすさ、利用可能性、整合性の観点から、実務家視点におけるSBOMツール支援の現在の状態は？
• RQ3 標準化、プライバシー、業界のコミットメントの観点から、実務家がSBOM導入に関して抱く主な懸念事項は何か？
• RQ4 AIおよび機械学習（AIBOM）の文脈において、実務家たちはSBOMの価値と将来の方向性をどのように認識しているか？

主な発見

• 調査対象組織の90％がSBOM導入を開始または計画しており、そのうち54％がすでにSBOMを導入済みであり、業界全体の強い動向がうかがえる。
• 高い準備度にもかかわらず、40％の実務家がSBOMへの長期的業界コミットメントに不確実性を感じており、39％は標準化されたデータフィールドの共通理解を求める。
• 実務家たちはSBOMツールの必要性を認めつつも、利用可能性、使いやすさ、整合性の面で制限を経験しており、特にデータプライバシーやSBOMの正確性に関する懸念を示している。
• 主要な懸念として、標準SBOMフォーマットの拡張性の欠如があり、これにより進化するソフトウェアコンポONENTやAI/MLシステムへの適応が困難になっている。
• 実務家たちは、教育と導入支援の向上を強く要請しており、66％の回答者が知識不足をSBOM利用の障壁として挙げている。
• 本研究では、AIBOM（AI/ML特化型SBOM）が今後の重要な方向性であると特定し、コード、データ、モデル、設定の共進化をSBOMに組み込む必要性を強調している。