3.1依存関係のリスク管理 — 依存関係グラフ・SBOM・Dependabot

現代のソフトウェアは大量の オープンソース依存 の上に成り立ち、その脆弱性が自分のアプリの脆弱性になります。サプライチェーンセキュリティ（依存関係グラフ/Dependabot/Dependency Review を束ねる製品領域。有償機能は Code Security に含む）は、「どんな依存があるか」を可視化し、「その中に既知の脆弱性がないか」を検知し、「安全な版へ更新する」までを支援します。

3.1.1依存関係グラフと SBOM

依存関係グラフ（dependency graph） は、マニフェスト/ロックファイル（package-lock.json・requirements.txt 等）から 直接・推移的（transitive）な依存 を解析した一覧です。これを基盤に脆弱性検知が動きます。SBOM（Software Bill of Materials） は「ソフトウェアの部品表」で、含まれる依存とバージョンを 標準形式（SPDX・CycloneDX 等） で列挙します。GitHub は依存関係グラフから SBOM を エクスポート でき、規制対応やサプライチェーンの透明性に使います。

3.1.2Dependabot アラートとセキュリティ更新

Dependabot アラート は、依存に 既知の脆弱性（GitHub Advisory Database に登録された CVE 等）が見つかると通知します。Dependabot セキュリティ更新 は、脆弱な依存を安全な版へ上げる プルリクエストを自動作成 します。さらに Dependabot バージョン更新 は、脆弱性に関係なく依存を定期的に最新へ保ちます。修復は基本的に「安全な版へ更新する PR をマージ」で、テストを通して挙動を確認します。

3.1.3EPSS による優先順位付け

脆弱性は数が多く、すべてを同時には直せません。優先順位付けには 重大度（CVSS） に加え EPSS（Exploit Prediction Scoring System） が役立ちます。EPSS は「その脆弱性が 実際に悪用される確率」を推定したスコアで、CVSS（深刻度）と組み合わせて「深刻かつ悪用されやすい」ものを先に直す判断ができます。これにより、限られたリソースを リスクの高い順 に振り向けられます。

3.1.4この節のまとめ

• 依存関係グラフ＝直接・推移的依存の解析（脆弱性検知の基盤）、SBOM＝部品表（SPDX/CycloneDX）でエクスポート
• Dependabot：アラート（既知脆弱性）＋セキュリティ更新（自動 PR）＋バージョン更新（定期最新化）
• 優先順位は CVSS（深刻度）＋EPSS（悪用確率）。修復は安全な版へ更新する PR をテスト通過後にマージ
• セキュリティ更新とバージョン更新は別物、推移的依存も対象