Editorとは — MSC SBOM Portal

Features

できること

複数形式への対応

SPDX（JSON／tag-value）、CycloneDX（JSON／XML）を読み込み、形式を自動判別します。自社SBOM・第三者から受領したSBOMのいずれにも対応します。

補記・未特定の明示

生成ツールが埋められなかった項目を手作業で補記できます。特定できないコンポーネントは「未特定」として明示し、充足率上の欠落と区別します。

開示レベルの切替

提出先・開示範囲に応じて表示項目を切り替え、社内限りの識別名やプロジェクト名を外部提出用に置き換えられます。機械可読・人間可読を同時に出力します。

版数・承認記録の管理

差分マージ・版数付与・承認記録を保持し、リリース時点のSBOMに開示用の情報を付与した開示成果物として管理できます。

既知脆弱性の簡易照会

内蔵CVE表または外部CSVリストと照合し、「該当の可能性あり／該当しない／判定不能」を判定根拠とともに表示します。詳しい範囲と限界は次項をご確認ください。

外部通信ゼロ

単一HTMLファイルとして動作し、読み込んだSBOMの内容が外部に送信されることはありません。機密性の高い構成情報を扱う場面でも安心してご利用いただけます。

Vulnerability Lookup

既知脆弱性の簡易照会について

Editor限定機能（Inspectorには含まれません）

内蔵CVE表（CISA KEV収載・医療機器分野での照会実績・CVSS 9.0以上かつ広範なOSSを基準に選定した数件〜十数件）または外部CSVリスト（上限200件）と照合し、判定結果をCSV出力できます。照合はpurl／cpeから抽出したパッケージ名とコンポーネント名の文字列一致による簡易方式です。

できること	内容
照合	内蔵CVE表または外部CSVリスト（上限200件、超過分は件数とCVE番号を画面明示）との照合。結果をCSV出力（証跡）。手動追加・リストエクスポート
版数比較	semver・数値の点区切り形式のみに対応（レター付き版数等は判定不能）
設計思想	情報が不足するときは「該当しない」ではなく「判定不能」を安全側に返します。「該当しない」は識別子が一致し版数が影響範囲外と確実に判断できた場合のみです

本機能は汎用脆弱性データベースとの網羅照合ではありません（NVDのCPE辞書全体との照合ではない簡易方式です）。脆弱性情報の継続収集・通知・トリアージ記録は行いません。収録の正確性・網羅性を保証するものではなく、「該当なし」の結果を規制当局提出資料における脆弱性の不存在の証明として用いることは想定していません。充足率の判定（第3章相当）には本機能の操作前後で影響はありません。