SBOM・ソフトウェアサプライチェーンセキュリティ関連銘柄を事業構造で整理

SBOM関連銘柄を事業上の直接性で見ると、自社のSBOM管理・脆弱性監視製品を持つサイバートラストとフューチャー、導入支援から継続監視まで提供する野村総合研究所が中核に近い企業です。ここでいう中核とは株価上昇の可能性ではなく、SBOM、SCA、PSIRT、脆弱性管理との事業上の距離が近いという意味です。

重要サプライチェーンでは、IIJとSHIFTが導入・運用、イーソルとマクニカホールディングスが海外製品の国内展開、日立製作所とNECが大企業向けの管理基盤・方針策定を担います。富士通も接点はありますが、商用規模と売上寄与の開示が薄く、思惑先行に注意したい位置づけです。

今後は、2026年9月に始まるEUサイバーレジリエンス法の報告義務と、2027年12月の主要義務適用に向け、導入件数、契約更新、管理対象製品数、PSIRT運用受注、関連売上の開示を確認する必要があります。政策や規制の強化は需要の前提になりますが、無料ツールとの競争、誤検出の精査、専門人材不足、顧客の導入遅延もあります。テーマとの接点だけでなく、継続的な契約と企業業績への接続が確認できるかを分けて見ることが重要です。

本ブログに掲載している情報は、筆者の個人的な見解および情報提供を目的としたものであり、特定の金融商品や銘柄の売買を推奨するものではありません。掲載内容の正確性・完全性を保証するものではなく、本情報に基づいて生じたいかなる損失についても責任を負いかねます。投資判断はご自身の責任において行ってください。

SBOM・ソフトウェアサプライチェーンセキュリティ関連テーマの整理

テーマの概要

SBOMは「Software Bill of Materials」の略で、製品やシステムに含まれるOS、ライブラリ、OSS、ミドルウェアなどの名称、バージョン、依存関係、供給者情報を機械処理できる形で一覧化したソフトウェア部品表です。本記事では、SBOMファイルを作るツールだけでなく、SCAによる部品検出、複数SBOMの統合管理、脆弱性データとの照合、OSSライセンス管理、対応優先度の判定、PSIRTへの通知、規制適合資料の整備までを対象とします。

サプライチェーンは、SPDXやCycloneDXなどの標準形式、SBOM生成・解析ツール、脆弱性データベース、管理プラットフォーム、導入コンサルティング、継続監視・PSIRT運用という流れで構成されます。主な顧客は自動車、産業機器、医療機器、通信機器、IoT、ソフトウェア、SaaS、公共・重要インフラなどです。

初心者が誤解しやすいのは、SBOMそのものが脆弱性診断や修正を行うわけではない点です。SBOMはどの部品が入っているかを把握するデータ基盤であり、継続的な更新、脆弱性照合、影響判定、修正、顧客への通知と組み合わせて初めて効果を発揮します。IPAの手引きも、SBOMは導入しただけでは十分ではなく、脆弱性管理やライセンス管理を含む運用が必要だと整理しています。

なぜ今注目されているのか

経済産業省は2026年7月30日、各国のサイバーセキュリティ機関などがまとめたSBOMの最低要素に関する国際ガイダンスへの共同署名を公表しました。対象は従来型のパッケージソフトだけでなく、OSS、AIソフトウェア、SaaSを含む現代のソフトウェア供給網まで広がっています。新しい最低要素では、構成部品のライセンス、ハッシュ方式、SBOM生成ツール名、生成時の文脈などが重視され、SBOMの有無だけでなく、内容の品質と追跡可能性が問われる方向です。

国内では、経済産業省が2024年8月に「ソフトウェア管理に向けたSBOMの導入に関する手引Ver.2.0」を公表し、SBOMの作成、共有、脆弱性管理、契約・調達上の考え方を整理しました。IPAも2024年12月の手引きで、環境・体制整備、SBOM作成・共有、運用・管理という三段階を示しています。

海外ではEUサイバーレジリエンス法が重要です。デジタル要素を持つ製品のメーカーに、設計から保守までのライフサイクル全体でセキュリティと脆弱性対応を求めます。脆弱性・インシデント報告義務は2026年9月11日、主要義務は2027年12月11日から適用されます。2026年7月27日には欧州委員会が実務ガイダンスも公表しており、欧州市場へ製品を出す日本企業にとって準備期間は限定されています。

日本株で関連銘柄を見る視点

中核事業型は、SBOM管理ツール、SCA、脆弱性監視、PSIRT支援などを自社サービスとして直接提供する企業です。利用料、保守料、コンサルティング料などへの接続が比較的説明しやすい一方、SBOM単独の売上は開示されていないことが多くあります。

重要サプライチェーン型は、海外ツールの販売・導入、組込み製品向けのエンジニアリング、大企業向けの体制構築、セキュア開発支援などを担います。顧客基盤を活用できる反面、仕入先への依存や人員稼働型の収益構造に注意が必要です。

周辺恩恵型は、SBOMを含む製品セキュリティ、公共システム、通信、クラウド、品質保証などの一部で需要を取り込む企業です。接点があっても、企業全体に対する事業規模が小さければ、業績への影響は限定的です。

思惑先行注意型は、サービス名や実証事業は確認できるものの、顧客、受注、商用規模、継続提供状況の開示が薄い企業です。「テーマに関係していること」と「企業業績への影響が大きいこと」は同じではありません。製品の提供開始だけでなく、有償導入、契約更新、運用件数、関連売上の開示まで確認する必要があります。

SBOM・ソフトウェアサプライチェーンセキュリティ関連銘柄一覧

表示順関連度位置づけ証券コード会社名市場区分関連する理由注目ポイント注意点
1A中核事業型4498サイバートラスト東証グロース自社のSBOM管理・脆弱性監視ツールをSaaSで提供SBOM統合管理、CRA対応、Linux・OSS知見関連売上と契約件数が非開示
2A中核事業型4722フューチャー東証プライム自社SaaS「FutureVuls PSIRT」でSBOMと製品脆弱性を管理PSIRT業務との直結、継続課金型サービスグループ全体での事業規模は不明
3A中核事業型4307野村総合研究所東証プライムNRIセキュアがSBOM導入支援と継続監視を提供コンサルから運用までの一貫支援親会社業績への寄与を分離できない
4B重要サプライチェーン型3774インターネットイニシアティブ東証プライム「with yamory」でSBOM、脆弱性、ライセンスを管理既存法人顧客への導入・運用支援基盤は外部事業者のサービス
5B重要サプライチェーン型3697SHIFT東証プライムCRA対応、SCA・SBOM導入、PSIRT構築を一体支援品質保証・開発現場との接続人員依存と関連売上の非開示
6B重要サプライチェーン型4420イーソル東証スタンダード組込み製品向けCybellumを販売し、SBOM・PSIRTを支援車載、産業、医療機器との顧客接点海外製品依存、販売実績が非開示
7B重要サプライチェーン型3132マクニカホールディングス東証プライムBlack Duckの国内販売とセキュア開発支援を展開SCA、ライセンス、SBOMを包括親会社全体では事業規模が小さい可能性
8B重要サプライチェーン型6501日立製作所東証プライム日立ソリューションズがSBOM管理システムを提供オンプレミス対応、PSIRT構築支援新サービスで導入・売上実績が不明
9B重要サプライチェーン型6701日本電気東証プライムSBOM導入方針と運用ルールの策定を支援大企業・公共向けコンサル基盤自社SBOM製品の規模が見えにくい
10C周辺恩恵型・思惑先行注意型6702富士通東証プライム子会社サービスと通信分野のSBOM実証で接点公共・安全保障分野への展開余地商用規模、顧客、関連売上が不明

銘柄別解説

サイバートラスト（4498）｜関連度A・中核事業型

会社概要

サイバートラストは、認証・セキュリティ、Linux・OSS、IoT分野を主要領域とする事業会社です。証明書や端末認証に加え、「MIRACLE LINUX」などのLinux関連技術と、組込み・IoT製品の長期サポートを展開しています。SBOM関連では、Linux・OSSの脆弱性情報を扱ってきた知見を生かし、自社の管理・監視ツールや導入支援を提供しています。調査日時点の市場区分は東証グロースです。

テーマとの関連性

同社の「MIRACLE Vul Hammer」は、SBOMを取り込み、製品やシステムに含まれるソフトウェア部品と脆弱性情報を照合する管理ツールです。複数ベンダーが生成したSBOMを統合し、脆弱性の優先度、対応状況、製品階層を管理できます。2024年10月にはSaaS版を提供し、2025年5月にはSBOM階層管理やCPE補完機能を追加しました。

さらに、Insignaryのバイナリ解析技術と組み合わせた「MIRACLE Vul Hammer with Clarity」により、ソースコードがないソフトウェアからのSBOM生成と、その後の脆弱性管理を一貫させる構想を示しています。組込みLinux向けには「Timesys Vigiles」も扱い、SBOMベースの継続監視や修正情報の提供に対応します。

テーマ拡大が業績につながる経路は、SaaS利用料、ソフトウェアライセンス、導入支援、保守、組込み製品の長期脆弱性監視です。ただし、SBOM関連売上、契約社数、ARRは開示されていません。

関連度Aの判定理由： 自社名義のSBOM管理・脆弱性監視製品を既に商用提供し、SBOM生成から継続運用までの製品拡張も確認できます。Linux・OSSという既存事業との距離も近く、直接性と一次情報の具体性が高いと判断しました。

注目ポイント

  • 「MIRACLE Vul Hammer」がSaaS化されており、導入後の継続利用料につながる構造を持っています。
  • SBOM生成、統合管理、脆弱性照合、優先順位付けを一つの運用にまとめる方向が確認できます。
  • CRA対応を前面に出しており、欧州向け製品を持つ製造業への導入拡大が確認点になります。
  • Linux・OSS、組込み、IoTの既存顧客基盤にSBOMサービスを追加販売できるかが注目されます。

注意点

  • SBOM関連事業の売上高、受注額、契約件数は開示されていません。
  • 国内外のSCA、脆弱性管理、SBOM管理ベンダーとの競争があります。
  • SBOMの誤検出や部品識別の不整合は完全には自動化できず、導入企業側の精査も必要です。
  • 規制対応需要が生じても、無償ツールや既存セキュリティ製品で代替される可能性があります。

参考情報

フューチャー（4722）｜関連度A・中核事業型

会社概要

フューチャーは、ITコンサルティング、システム設計・開発、デジタルサービスなどを展開する持株会社です。中核子会社のフューチャーアーキテクトを通じ、企業システムの設計や技術支援に加え、脆弱性管理SaaS「FutureVuls」を開発・提供しています。SBOM関連では、一般的なIT資産管理に加えて、製造業の製品セキュリティとPSIRT業務に対象を広げています。

テーマとの関連性

「FutureVuls PSIRT」は、製品ごとのSBOMを管理し、登録された構成部品と脆弱性情報を自動照合するサービスです。脆弱性が見つかった際に影響を受ける製品を特定し、対応担当者への割り当て、期限、リマインド、進捗状況を管理します。東芝の製品セキュリティ運用に関する意見を取り入れて開発されたことも公表されています。

同社はFutureVulsに、悪用可能性や影響度を踏まえた優先順位付け、脅威情報、EOLソフトウェアの管理などを順次追加しています。SBOMを「作成して保管するだけ」ではなく、PSIRTが日常的に脆弱性対応を回す業務基盤として提供している点が特徴です。

収益化の経路はSaaS利用料、導入支援、運用支援です。ただし、FutureVulsまたはFutureVuls PSIRT単独の売上、契約数、利益は公表されていません。

関連度Aの判定理由： SBOM管理とPSIRTの対応業務を結び付けた自社SaaSを商用提供しており、継続的な脆弱性管理に直接関係します。製品名、機能、提供段階が一次情報で明確なためAとしました。

注目ポイント

  • SBOMと脆弱性データの照合後、担当者・期限・対応状況まで管理できる点が特徴です。
  • SaaS型であるため、利用企業や管理対象製品の増加が継続収益につながる可能性があります。
  • EOL管理や生成AIによる脆弱性情報の要約など、周辺機能の拡張が進んでいます。
  • 製造業のPSIRT運用で導入事例が増えるかが今後の確認点になります。

注意点

  • SBOM関連事業の売上規模と利用企業数は開示されていません。
  • フューチャーグループ全体ではITコンサルティング案件の比重が大きく、当該サービスの業績寄与は不明です。
  • 顧客のPSIRT体制が未整備の場合、ツール導入だけでは運用が定着しない可能性があります。
  • 海外製を含む脆弱性管理プラットフォームとの競争があります。

参考情報

野村総合研究所（4307）｜関連度A・中核事業型

会社概要

野村総合研究所は、コンサルティング、金融IT、産業IT、IT基盤サービスを展開する東証プライム上場企業です。SBOM関連事業は、サイバーセキュリティ子会社のNRIセキュアテクノロジーズが中心となります。同社はセキュリティ戦略、規制対応、製品セキュリティ、サプライチェーンリスク、監視運用を扱い、SBOM導入前の方針策定から導入後の脆弱性管理まで提供しています。

テーマとの関連性

NRIセキュアは2024年1月に「SBOM導入支援サービス」を開始しました。適用対象の選定、導入目的の整理、ツール評価、運用プロセス設計、PoC、社内ルール策定を支援します。単なるツール販売ではなく、顧客企業がSBOMを作成・受領・共有するための組織設計を扱うサービスです。

2024年12月には、製品のSBOMと脆弱性情報を継続的に照合し、対象製品、影響度、対応状況を管理する監視サービスを追加しました。導入コンサルティングから継続監視へ収益機会を広げている点が重要です。NRIとNRIセキュアは、SBOMを使った包括的な脆弱性管理プロセスを複数支援してきたと説明しています。

収益化はコンサルティング、導入プロジェクト、監視・運用契約から生じる可能性があります。ただし、SBOM関連売上や親会社の各セグメントに占める比率は開示されていません。

関連度Aの判定理由： SBOM導入支援と継続的な脆弱性監視を実際に商用提供し、導入前から運用後まで直接関与しています。一次情報が具体的で、制度対応需要を受注へ接続する構造も確認できるためAとしました。

注目ポイント

  • 方針策定、ツール選定、PoC、運用設計、監視まで一貫して提供しています。
  • 製造業や金融・重要インフラなど、規制対応が重い顧客への展開余地があります。
  • 単発コンサルティングから継続監視契約へ移行できるかが注目点です。
  • サプライチェーントラストサービスの他メニューとの一体提案が可能です。

注意点

  • 実サービスを提供するのは非上場子会社のNRIセキュアであり、親会社への寄与は分離開示されていません。
  • コンサルティングは人員数と専門人材の稼働に左右されます。
  • 顧客ごとに製品構成や開発プロセスが異なり、導入期間が長期化する可能性があります。
  • SBOM関連だけでNRI全体の業績が大きく変動する可能性は現時点で確認できません。

参考情報

  • NRIセキュアテクノロジーズ株式会社｜SBOM導入支援サービスを提供開始｜2024年1月30日｜適用範囲、ツール選定、PoC、運用設計の支援を確認。
    URL：https://www.nri-secure.co.jp/news/2024/0130
  • NRIセキュアテクノロジーズ株式会社｜製品等のソフトウェアのSBOMを活用した脆弱性管理を支援｜2024年12月19日｜継続的なSBOM・脆弱性監視サービスを確認。
    URL：https://www.nri-secure.co.jp/news/2024/1219
  • NRIセキュアテクノロジーズ株式会社｜SBOMを活用した脆弱性管理｜2025年4月15日｜識別子、照合、運用上の課題を確認。
    URL：https://www.nri-secure.co.jp/blog/sbom
  • 株式会社野村総合研究所｜会社概要｜発行日記載なし、2026年7月31日確認｜証券コード4307、東証プライム上場を確認。
    URL：https://www.nri.com/jp/company/info.html

インターネットイニシアティブ（3774）｜関連度B・重要サプライチェーン型

会社概要

インターネットイニシアティブは、法人向けインターネット接続、クラウド、ネットワーク、セキュリティ、システムインテグレーションを展開する東証プライム上場企業です。多数の法人顧客に対し、ネットワークとクラウドの運用を継続提供している点が強みです。SBOM分野では、外部サービスを組み込んだ「IIJ脆弱性管理ソリューション with yamory」を販売・運用しています。

テーマとの関連性

同サービスは、クラウド、オンプレミス、アプリケーションなどの資産を横断して管理し、脆弱性の危険度、外部からの到達可能性、攻撃コードの有無などから対応優先度を判断します。SBOM対応に加え、OSSライセンス違反、ソフトウェアのEOL、クラウド設定不備も管理対象です。

IIJは初期設定、管理対象の登録、クラウド連携、トレーニング、月次レポート、運用報告会を提供しています。このため、単なるライセンス販売よりも導入・運用サービスへ収益を広げられる構造があります。

一方、基盤となる「yamory」は株式会社アシュアードが提供するサービスであり、IIJの自社開発SBOMプラットフォームではありません。関連売上や契約数も開示されていません。

関連度Bの判定理由： SBOM、脆弱性、OSSライセンスを顧客向けサービスとして実際に提供し、運用支援まで行っています。ただし、基盤製品が外部事業者のもので、IIJ全体における重要度も不明なためBとしました。

注目ポイント

  • IIJのネットワーク、クラウド、セキュリティ顧客に追加提案できる可能性があります。
  • 初期導入だけでなく、月次レポートや運用支援を提供しています。
  • SBOMだけでなく、ライセンス、EOL、クラウド設定を横断管理できます。
  • 法人顧客の脆弱性管理を一元化する需要が受注に接続するかが確認点です。

注意点

  • 中核プラットフォームは外部企業が提供しています。
  • SBOM関連の売上高、利用企業数、契約更新率は公表されていません。
  • IIJ全体ではネットワーク・クラウドサービスの規模が大きく、業績寄与は限定的または不明です。
  • 顧客が既に別の脆弱性管理製品を導入している場合は競合します。

参考情報

  • 株式会社インターネットイニシアティブ｜IIJ脆弱性管理ソリューション with yamory｜発行日記載なし、2026年7月31日確認｜SBOM、OSSライセンス、EOL、脆弱性管理機能を確認。
    URL：https://www.iij.ad.jp/biz/yamory/
  • 株式会社インターネットイニシアティブ｜株式の概要｜発行日記載なし、2026年7月31日確認｜証券コード3774、東証プライム上場を確認。
    URL：https://www.iij.ad.jp/ir/stock-info/outline/
  • 株式会社インターネットイニシアティブ｜会社概要｜発行日記載なし、2026年7月31日確認｜主要事業と事業会社としての位置づけを確認。
    URL：https://www.iij.ad.jp/company/about/outline/

SHIFT（3697）｜関連度B・重要サプライチェーン型

会社概要

SHIFTは、ソフトウェアテスト、品質保証、開発支援、セキュリティ、IT運用などを提供する東証プライム上場企業です。開発工程の上流からテスト、リリース後の運用まで幅広く関与し、品質保証で構築した顧客基盤をセキュリティ分野へ広げています。SBOM関連では、EUサイバーレジリエンス法への対応体制構築を支援するサービスを提供しています。

テーマとの関連性

SHIFTのCRA対応支援は、SCA・SBOMツールの全社導入と運用、PSIRTの構築・運用、セキュア製品開発ガイドの策定をまとめて扱います。ツールを導入するだけでなく、開発部門、品質保証部門、セキュリティ部門の役割を設計し、継続運用へつなげるサービスです。

SBOMの導入では、対象製品の選定、スキャン環境の整備、誤検出の精査、既存の開発・CI/CD工程への組み込み、脆弱性発見後の対応フローが必要です。SHIFTはソフトウェアテストや開発プロセス改善を既存事業として持つため、これらを一体提案しやすい立場にあります。

収益はコンサルティング、ツール導入、運用、セキュリティ検証、人材稼働へ接続する可能性があります。ただし、SBOM・CRA対応サービス単独の売上と受注は公表されていません。

関連度Bの判定理由： SCA・SBOM導入、PSIRT、開発ガイドまでを明示した商用サービスがあり、テーマとの接点は強いと判断できます。一方、自社SBOM基盤の提供よりも導入・運用支援が中心で、業績重要度が不明なためBとしました。

注目ポイント

  • 品質保証とセキュリティを同じ開発工程で提案できる点が特徴です。
  • CRA対応の期限接近により、製造業の体制構築案件が増えるかが注目されます。
  • ツール導入後の運用、検証、PSIRT支援へ契約範囲を広げられる可能性があります。
  • 既存の大企業顧客へのクロスセルが受注に接続するかが確認点です。

注意点

  • SBOM関連の売上、顧客数、受注残は開示されていません。
  • コンサルティングや運用支援は専門人材の確保と稼働率に左右されます。
  • CRAの対象範囲や適合方法に関する顧客判断が遅れれば、案件化も後ろ倒しになる可能性があります。
  • 自動化ツールの普及によって、一部作業の単価が低下する可能性があります。

参考情報

イーソル（4420）｜関連度B・重要サプライチェーン型

会社概要

イーソルは、リアルタイムOS、車載ソフトウェア、組込みシステム向け開発ツール、エンジニアリングサービスを展開する東証スタンダード上場企業です。自動車、産業機器、医療機器、コンシューマー機器など、製品出荷後も長期間使われる組込みソフトウェアに強みがあります。SBOM事業は100％子会社のイーソルトリニティが主に担当します。

テーマとの関連性

イーソルトリニティは2025年3月、イスラエルのCybellum Technologiesと国内代理店契約を締結しました。Cybellum PlatformはソースコードやバイナリコードからSBOMを生成し、OSSや商用部品の脆弱性を検出します。出荷後に新たな脆弱性が発見された場合はPSIRTへ通知し、製品やバージョンごとの対応状況を継続管理します。

販売対象として車載、産業機器、医療機器を明示しており、規制対応や長期保守が必要な組込み製品との親和性があります。イーソルはツール販売だけでなく、サイバーセキュリティのコンサルティングとエンジニアリングサービスも組み合わせる方針です。

一方、Cybellumは海外企業の製品であり、イーソルの役割は国内販売、導入、技術支援です。受注企業数、販売額、関連売上は開示されていません。

関連度Bの判定理由： SBOM生成、脆弱性検出、PSIRT通知を備えた製品を正式に販売し、組込み製品の顧客用途も明確です。ただし代理店型であり、販売実績と企業全体への寄与が不明なためBとしました。

注目ポイント

  • 車載、産業機器、医療機器という規制・長期保守需要の強い顧客を対象としています。
  • ソースコードがない第三者部品でも、バイナリ解析によるSBOM生成が可能です。
  • イーソルの組込み開発支援と製品セキュリティを一体提案できるかが注目されます。
  • Cybellum製品の国内導入事例と継続監視契約の開示が今後の確認点です。

注意点

  • 自社開発のSBOM基盤ではなく、海外ベンダーへの依存があります。
  • 代理店契約の締結と、実際の受注・売上計上は別の段階です。
  • 関連事業は子会社が担当しており、親会社への利益寄与は確認できません。
  • 組込み業界では顧客評価や導入検証に時間を要する可能性があります。

参考情報

マクニカホールディングス（3132）｜関連度B・重要サプライチェーン型

会社概要

マクニカホールディングスは、半導体、ネットワーク、サイバーセキュリティ、AI、IoT、産業機器向けソリューションを展開する持株会社です。SBOM関連事業は、事業子会社のマクニカが担当します。海外の先端製品を国内へ導入し、技術支援、設計支援、運用支援を組み合わせる販売モデルを持ちます。調査日時点で東証プライムに上場しています。

テーマとの関連性

マクニカは2024年11月、Black Duck Softwareと国内販売代理店契約を締結しました。「Black Duck SCA」は、ソースコード、バイナリ、コンテナなどからOSSを検出し、脆弱性、ライセンス、依存関係を管理する製品です。検出結果はSPDXやCycloneDX形式のSBOMとして出力でき、外部から受け取ったSBOMも取り込めます。

同社は製品ライセンスの販売に加え、法規制の整理、導入コンサルティング、セキュア開発プロセスへの組み込み、運用支援を提供する方針です。半導体事業で接点を持つ製造業に対し、製品セキュリティを追加提案できる点は独自性があります。

ただし、Black Duckは海外ベンダーの製品です。SBOM関連売上やセキュリティ事業内での構成比は開示されていません。

関連度Bの判定理由： SCA、SBOM生成、OSSライセンス、脆弱性管理を備えた商用製品を正式に販売し、導入から運用まで支援しています。ただし代理販売型で、持株会社全体への寄与が見えにくいためBとしました。

注目ポイント

  • 半導体とセキュリティの双方で製造業顧客との接点を持っています。
  • SBOMだけでなく、SAST、DAST、ファジングなどを組み合わせた提案が可能です。
  • OSSライセンス管理は法務・コンプライアンス予算にも接続する可能性があります。
  • Black Duck製品の国内導入事例と運用支援契約の増加が確認点になります。

注意点

  • 製品の競争力や価格設定は海外ベンダーの方針に左右されます。
  • 販売代理店契約だけでは、売上規模や利益率を判断できません。
  • マクニカホールディングス全体では半導体事業の規模が大きく、SBOMの寄与は限定的と考えられます。
  • SCA市場では複数の海外商用製品やオープンソースツールと競合します。

参考情報

日立製作所（6501）｜関連度B・重要サプライチェーン型

会社概要

日立製作所は、デジタルシステム、エネルギー、モビリティ、産業機器、社会インフラを展開する東証プライム上場企業です。SBOM関連サービスは、完全子会社の日立ソリューションズが中心となって提供します。同社は企業システムの構築、セキュリティ、ソフトウェア資産管理、OSS管理を扱い、日立グループ内で蓄積した運用ノウハウも活用しています。

テーマとの関連性

日立ソリューションズは2026年6月、SBOMを使った継続的な脆弱性管理とPSIRT体制の構築を支援する「SBOM管理システム」を発表しました。複数のSBOMを管理し、脆弱性情報と照合し、対象製品や対応状況を一元化します。クラウド利用に慎重な企業向けに、オンプレミス環境で利用できる点も特徴です。

システムはOWASP Dependency-TrackやJira Service Managementなどと連携し、脆弱性検出から対応タスクの管理までを支援します。日立グループのOSS活用ガイドライン、SBOMを使った脆弱性管理、経済産業省の実証事業への参加経験を基に開発したとしています。

商用提供が確認できる一方、2026年に発表された新しいシステムであり、具体的な導入社数、受注額、売上高は確認できません。

関連度Bの判定理由： 子会社がSBOM管理システムを実際に開発・提供し、継続的な脆弱性管理とPSIRT運用に直接関係します。ただし提供開始から日が浅く、巨大な日立グループ全体への影響は不明なためBとしました。

注目ポイント

  • 機密性の高いSBOMを社内管理したい企業向けにオンプレミス対応を打ち出しています。
  • 日立グループ内のOSS・SBOM運用経験を外販サービスに転換しています。
  • SBOM管理とITSMの連携により、脆弱性対応の進捗管理まで扱います。
  • 大規模製造業や社会インフラ案件で導入事例が出るかが確認点です。

注意点

  • 2026年発表の新サービスで、導入実績と継続収益は確認できません。
  • SBOM関連売上は非開示です。
  • 日立製作所全体の売上規模に対する寄与は限定的または不明です。
  • 子会社のサービス受注が親会社の連結業績に与える影響を個別に判断することは困難です。

参考情報

日本電気（6701）｜関連度B・重要サプライチェーン型

会社概要

日本電気は、官公庁、通信、金融、製造、流通などにITシステム、ネットワーク、セキュリティサービスを提供する東証プライム上場企業です。サイバーセキュリティ分野では、コンサルティング、SOC、認証、脆弱性診断、インシデント対応などを展開しています。SBOMでは、導入前の方針・ポリシー策定を中心とした専門サービスを提供しています。

テーマとの関連性

NECの「SBOMポリシー策定支援サービス」は、顧客組織におけるSBOMの目的、対象製品、管理項目、作成・受領・共有方法、脆弱性発見時の対応、部門間の役割を整理し、社内方針として文書化するサービスです。

SBOM導入では、開発部門だけでなく、調達、品質保証、セキュリティ、法務、PSIRTが関係します。NECは大規模システムと製品開発の双方を持つため、顧客側の組織設計やサプライヤー管理を支援しやすい位置にあります。

一方、公開情報で明確に確認できる中心サービスはポリシー策定・コンサルティングです。自社のSBOM生成・管理プラットフォームがどの程度外販されているか、関連事業の受注・売上規模は確認できません。

関連度Bの判定理由： SBOM導入方針を策定する商用サービスを提供しており、企業の導入・運用に直接関係します。ただしツールや継続監視よりもコンサルティング色が強く、事業規模も不明なためBとしました。

注目ポイント

  • 官公庁、通信、製造業など、供給網管理が重要な顧客基盤を持っています。
  • SBOM導入前の適用範囲と部門責任を整理するサービス需要が見込まれます。
  • 既存のセキュリティ診断、SOC、インシデント対応と一体化できるかが注目点です。
  • ポリシー策定後のツール導入・運用案件へ接続するかを確認したいところです。

注意点

  • 関連売上、案件数、顧客名は開示されていません。
  • ポリシー策定は導入初期の単発案件になりやすい可能性があります。
  • NEC全体では社会公共、通信、ITサービスなどの規模が大きく、SBOMの寄与は不明です。
  • 顧客が自社内または他のコンサルティング会社で方針を策定する場合は代替されます。

参考情報

富士通（6702）｜関連度C・周辺恩恵型・思惑先行注意型

会社概要

富士通は、企業・官公庁向けITサービス、クラウド、ネットワーク、コンピューティング、セキュリティなどを展開する東証プライム上場企業です。SBOMとの接点は、通信・放送分野の実証、公共・安全保障領域の製品セキュリティ、子会社によるSBOM管理サービスなどで確認できます。ただし、富士通グループ全体における関連事業の位置づけは明確ではありません。

テーマとの関連性

富士通ディフェンス＆ナショナルセキュリティは、公式サイトで「SBOMマネジメントサービス」を掲げています。ソフトウェアサプライチェーン上のセキュリティ脅威に対応するサービスとされていますが、公開ページでは具体的な機能、料金、導入企業、契約件数は確認できません。

富士通本体は2023年、通信・放送分野のソフトウェアサプライチェーンでSBOMを利用する実証に参加し、複数企業間でのSBOM共有、脆弱性情報との照合、運用上の課題を検証しました。これは技術・業務知見の蓄積を示しますが、実証参加と継続的な商用売上は区別する必要があります。

公共、安全保障、通信などの顧客にサービスを展開する可能性はありますが、関連売上、顧客、受注額は開示されておらず、富士通全体への影響は不明です。

関連度Cの判定理由： 公式サービス名とSBOM実証を確認できるため最低限の接点はあります。ただし商用サービスの詳細、導入実績、売上寄与の裏付けが限定的であり、テーマ性が先行しやすいことからCとしました。

注目ポイント

  • 公共、安全保障、通信など、供給網の透明性が重要な分野に顧客基盤があります。
  • グループ会社がSBOMマネジメントサービスを明示しています。
  • 実証で得た知見が具体的な運用サービスや受注へつながるかが確認点です。
  • サービス機能、導入事例、契約形態の追加開示を確認したいところです。

注意点

  • SBOMマネジメントサービスの詳細な機能と商用化規模は確認できません。
  • 実証実験への参加は、量産・受注・売上計上を意味しません。
  • 関連売上、受注額、顧客数は開示されていません。
  • 富士通グループ全体への業績寄与は限定的または不明です。
  • 大手IT企業という理由だけで、SBOM市場の拡大がそのまま業績拡大につながるとは判断できません。

参考情報

  • 富士通ディフェンス＆ナショナルセキュリティ株式会社｜公式サービス一覧｜発行日記載なし、2026年7月31日確認｜SBOMマネジメントサービスの掲載を確認。
    URL：https://www.fujitsu.com/jp/group/fdns/
  • 富士通株式会社｜通信・放送分野におけるSBOM活用の実証｜2023年8月1日｜企業間のSBOM共有、脆弱性管理に関する実証参加を確認。
    URL：https://pr.fujitsu.com/jp/news/2023/08/1.html
  • 富士通株式会社｜投資家向け情報｜発行日記載なし、2026年7月31日確認｜証券コード6702、上場状態を確認。
    URL：https://pr.fujitsu.com/jp/ir/

今回は除外・参考扱いとした銘柄

証券コード会社名判定除外・参考扱いとした理由
9719SCSK上場廃止ベリサーブの「SBOM.JP」など関連事業は確認できるものの、住友商事による完全子会社化に伴い2026年3月12日に上場廃止となったため、調査日時点の上場銘柄から除外
9613NTTデータグループ上場廃止SBOM導入支援に関する情報はあるものの、NTTによる完全子会社化に伴い2025年9月26日に上場廃止となったため除外
―ベリサーブ非上場「SBOM.JP」を提供するテーマ上重要な企業だが、独立した上場会社ではない
―NRIセキュアテクノロジーズ非上場SBOM導入・監視サービスの実提供会社だが非上場。上場親会社の野村総合研究所を採用
―Black Duck Software海外企業・参考SCA・SBOM製品の提供元だが、日本株ではない。国内販売会社としてマクニカホールディングスを採用

コメント

タイトルとURLをコピーしました