AGEST、SBOM管理サービスを米英で提供開始

ニュースの要点

AGESTは2026年9月16日、ソフトウェアサプライチェーンのリスクを管理する「SBOM Archi」を、米国と英国で提供すると発表しました。米国ではグループ会社LogiGearが9月15日、英国では同じくグループ会社DWSが9月16日に提供を始めました。

SBOMは、製品やサービスに含まれるソフトウェア部品を一覧にした情報です。SBOM Archiは一覧の作成・管理に加え、脆弱性、ライセンス、サポート終了のリスクを評価し、修復の優先順位と対応履歴を一つの環境で管理します。さらに、オンラインだけでなく、外部ネットワークへ接続しない環境にも対応します。

AGESTは、2026年9月11日に適用が始まったEUサイバーレジリエンス法の報告義務や、米国政府調達で重視されるソフトウェアの透明性を、海外展開の背景に挙げています。11月30日までは全機能を無料提供しますが、その後の価格、有料契約の目標、導入社数は公表していません。

ニュース出典：AGEST、グループ会社LogiGearとDWSがソフトウェアサプライチェーンのセキュリティ強化とEU CRA対応を支援する「SBOM Archi」を米国・英国で提供開始（AGEST、2026年9月16日）

イノベーション総研の考察

今回の発表は、日本で開発したセキュリティ製品を英語化して海外で売るだけの話ではありません。むしろ、AGESTは、EUの新しい報告義務が始まる時期に合わせ、米国と英国のグループ会社を販売と運用支援の窓口にしました。つまり、規制対応という期限のある需要を、継続的なリスク管理サービスへ変えられるかが焦点です。

CRAの対象と開始時期を確認し、継続管理の業務へつなぐ

SBOMを一度作れば、製品に含まれるソフトウェア部品を把握できます。しかし、新しい脆弱性は製品の発売後にも見つかり、部品の更新やサポート終了も起こります。ここでいうCRAはEU市場へ提供するデジタル要素を含む製品が対象となる制度で、米国・英国のすべての企業へ一律に適用されるものではありません。欧州委員会の報告義務の説明では、2026年9月11日から、悪用が確認された脆弱性や製品のセキュリティへ重大な影響を与えるインシデントを製造者が報告します。主要規定の適用は2027年12月11日で、報告義務の開始と区別します。該当する製品で報告義務へ対応するには、どの製品が影響を受けるかを確認し、報告と修復の進行を記録し続けなければなりません。

具体的には、SBOM Archiは、EUの脆弱性データベースとの連携、報告状況、監査ログ、修復の優先順位を扱います。ツールを導入しただけで、法令上の義務を満たしたことにはなりません。というのも、発表されたのは報告状況や修復の管理を支援する機能であり、実際の報告、修正、承認を誰が行うかは顧客側でも決めるからです。つまり、製品一覧を納品して終える事業ではなく、開発と保守の業務へ継続的に組み込む構成です。規制によって生まれた事業機会は、SBOMを作る作業ではなく、脆弱性の発見から報告・修復までを回し続ける業務にあります。

米国と英国のグループ会社が現地導入の摩擦を下げる

ソフトウェアサプライチェーンの管理では、顧客企業の製品構成や脆弱性情報を扱います。そのため、顧客は機能だけでなく、データの保管場所、サポート時間、規制の解釈、問題発生時の対応責任も確認します。しかし、日本から遠隔販売するだけでは、こうした導入条件を整える負担が大きくなります。

AGESTは、米国で30年以上ソフトウェア開発・テストを行うLogiGearと、英国の企業向けソフトウェア事業を担うDWSを使います。そして、両社が既存顧客との関係と現地支援を担えれば、新規販売拠点を一から作るより早く市場へ入れます。海外展開の強みは製品を輸出できることより、顧客が導入後の責任を任せられる現地組織をすでに持つことです。

無料期間では登録数に加えて運用への定着を確かめる

AGESTは11月30日まで全機能を無料で提供します。これにより、規制対応を整えたい企業は試しやすくなりますが、登録社数だけでは需要を確認できません。そのため、SBOMの取り込み・更新に加え、対象となる脆弱性が見つかったときに、担当者への割り当てと対応が進むかを確認します。なお、報告対象の事象がない企業には、試験用の事例で連絡・判断の手順を確認する方法もあります。

無料期間後に有料契約へ移るためには、既存の開発管理やチケット管理と二重入力にならないことも重要です。たとえば、規制対応の証跡を短時間で出せる、修復が必要な製品を早く特定できるなど、費用を払う理由を示す必要があります。修復の完了率は、対応が必要な案件を分母にし、重大度と期限をそろえて比較します。その際、問題が発生しなかった組織を、修復を完了できなかった組織として数えないようにします。

次に確認するのは有料転換と修復時間の短縮である

担当者の方が規制対応を起点に新サービスを作る場合、法令の説明だけでは継続収益になりません。顧客が毎月行う確認、報告、監査、取引先との情報共有を整理し、その一部を繰り返し利用する機能や運用支援に変える必要があります。

SBOM Archiでは、無料利用から有料契約へ移った割合、顧客一社当たりの対象製品数、脆弱性の検出から修復までの時間、LogiGearとDWSが自力で導入を完了できた件数を確認したいところです。また、継続事業としては、日常の開発・保守で使われる頻度と、顧客の確認作業をどこまで軽減できるかを確かめます。さらに、導入支援と保守の費用も含め、有料契約を続ける顧客の価値と提供側の採算を両方確認します。

この分野の市場構造と参入の考え方は、ソフトウェア部品表（SBOM）とは？導入・運用と国内外10事例で詳しく整理しています。

まとめ

AGESTは、EUの報告義務が始まる時期に合わせ、SBOM Archiを米国と英国で提供し始めました。現地グループ会社を使い、一覧作成だけでなく、脆弱性の評価、報告、修復管理までを支える点に特徴があります。今後は無料登録の数ではなく、有料転換、継続更新、修復時間、現地組織による導入件数を確認する必要があります。

執筆：イノベーション総合研究所