AGEST、SBOM管理サービスを米英で提供開始

ニュースの要点

AGESTは2026年9月16日、ソフトウェアサプライチェーンのリスクを管理する「SBOM Archi」を、米国と英国で提供すると発表しました。米国ではグループ会社LogiGearが9月15日、英国では同じくグループ会社DWSが9月16日に提供を始めました。

SBOMは、製品やサービスに含まれるソフトウェア部品を一覧にした情報です。SBOM Archiは一覧の作成・管理に加え、脆弱性、ライセンス、サポート終了のリスクを評価し、修復の優先順位と対応履歴を一つの環境で管理します。オンラインだけでなく、外部ネットワークへ接続しない環境にも対応します。

AGESTは、2026年9月11日に適用が始まったEUサイバーレジリエンス法の報告義務や、米国政府調達で重視されるソフトウェアの透明性を、海外展開の背景に挙げています。11月30日までは全機能を無料提供しますが、その後の価格、有料契約の目標、導入社数は公表していません。

ニュース出典：AGEST、グループ会社LogiGearとDWSがソフトウェアサプライチェーンのセキュリティ強化とEU CRA対応を支援する「SBOM Archi」を米国・英国で提供開始（AGEST、2026年9月16日）

---

イノベーション総研の考察

今回の発表は、日本で開発したセキュリティ製品を英語化して海外で売るだけの話ではありません。AGESTは、EUの新しい報告義務が始まる時期に合わせ、米国と英国のグループ会社を販売と運用支援の窓口にしました。規制対応という期限のある需要を、継続的なリスク管理サービスへ変えられるかが焦点です。

規制がSBOMの作成から継続管理へ必要業務を広げた

SBOMを一度作れば、製品に含まれるソフトウェア部品を把握できます。しかし、新しい脆弱性は製品の発売後にも見つかり、部品の更新やサポート終了も起こります。EUサイバーレジリエンス法の報告義務へ対応するには、どの製品が影響を受けるかを確認し、報告と修復の進行を記録し続けなければなりません。

SBOM Archiは、EUの脆弱性データベースとの連携、報告状況、監査ログ、修復の優先順位を扱います。製品一覧を納品して終える事業ではなく、開発と保守の業務へ継続的に組み込む構成です。規制によって生まれた事業機会は、SBOMを作る作業ではなく、脆弱性の発見から報告・修復までを回し続ける業務にあります。

米国と英国のグループ会社が現地導入の摩擦を下げる

ソフトウェアサプライチェーンの管理では、顧客企業の製品構成や脆弱性情報を扱います。顧客は機能だけでなく、データの保管場所、サポート時間、規制の解釈、問題発生時の対応責任も確認します。日本から遠隔販売するだけでは、こうした導入条件を整える負担が大きくなります。

AGESTは、米国で30年以上ソフトウェア開発・テストを行うLogiGearと、英国の企業向けソフトウェア事業を担うDWSを使います。両社が既存顧客との関係と現地支援を担えれば、新規販売拠点を一から作るより早く市場へ入れます。海外展開の強みは製品を輸出できることより、顧客が導入後の責任を任せられる現地組織をすでに持つことです。

無料期間の目的は登録数より運用への定着を確かめることにある

AGESTは11月30日まで全機能を無料で提供します。規制対応の期限が迫る企業は試しやすくなりますが、登録社数だけでは需要を確認できません。顧客がSBOMを取り込み、脆弱性を担当者へ割り当て、報告と修復を完了するところまで使って初めて、業務に定着したといえます。

無料期間後に有料契約へ移るためには、既存の開発管理やチケット管理と二重入力にならないことも重要です。規制対応の証跡を短時間で出せる、修復が必要な製品を早く特定できるなど、費用を払う理由を示す必要があります。無料提供で追うべき数字は登録数ではなく、SBOMを継続更新し、修復まで完了した組織の割合です。

次に確認するのは有料転換と修復時間の短縮である

担当者の方が規制対応を起点に新サービスを作る場合、法令の説明だけでは継続収益になりません。顧客が毎月行う確認、報告、監査、取引先との情報共有を整理し、その一部を繰り返し利用する機能や運用支援に変える必要があります。

SBOM Archiでは、無料利用から有料契約へ移った割合、顧客一社当たりの対象製品数、脆弱性の検出から修復までの時間、LogiGearとDWSが自力で導入を完了できた件数を確認したいところです。海外事業の成立は、規制施行時の一時的な相談を、日常の開発・保守で使う継続契約へ変えられるかで決まります。

まとめ

AGESTは、EUの報告義務が始まる時期に合わせ、SBOM Archiを米国と英国で提供し始めました。現地グループ会社を使い、一覧作成だけでなく、脆弱性の評価、報告、修復管理までを支える点に特徴があります。今後は無料登録の数ではなく、有料転換、継続更新、修復時間、現地組織による導入件数を確認する必要があります。

執筆：イノベーション総合研究所