自動車用ソフトウェア部品表（SBOM）および脆弱性管理市場 サイズとシェア 2026-2035

自動車向けソフトウェア部品表（SBOM）および脆弱性管理市場の規模

世界の自動車向けソフトウェア部品表（SBOM）および脆弱性管理市場は、2025年に9億2,050万米ドルと評価され、2026年から2035年にかけて年平均成長率（CAGR）17.3%で成長し、2035年には47億米ドルに達すると予測されています。Global Market Insights Inc.が発表した最新のレポートによると、2026年の市場規模は11億米ドルに達します。

市場は、自動車サイバーセキュリティの取り組みが、定期的な文書化から、ソフトウェアコンポーネント、脆弱性、修正対応の証跡の継続的な管理へと移行するなかで拡大しています。ソフトウェア定義型車両のアーキテクチャ、OTAソフトウェア更新、オープンソースの依存関係、多層的なサプライヤー間の情報交換により、OEMおよびサプライヤー企業全体でソフトウェアガバナンス業務の量と頻度が増加しています。

2035年までの成長は、ソフトウェアのトレーサビリティがコンプライアンス上の成果物から、コネクテッド車両プログラムの運用要件へと転換することを反映すると見込まれます。OTAリリース、サプライヤーによる更新、脆弱性の開示によって車両ソフトウェアの状態が変化するため、OEMには最新のコンポーネントインベントリが必要です。そのため、需要は初期導入にとどまらず、継続的な監視、サプライヤーデータの検証、リスクの優先順位付け、監査対応レポート作成にも及びます。また、EVおよびSDVプログラムにバッテリー、テレマティクス、クラウド、V2Xソフトウェアの各レイヤーが加わり、ライフサイクルガバナンスが必要となることも、市場の成長を後押ししています。

主な成長要因

規制コンプライアンスの義務化

UNECE WP.29規則第155号は、2024年7月にEU、英国、日本、韓国におけるすべての新型車の型式認証で義務化され、サイバーセキュリティガバナンスを車両の市場アクセス要件へと転換しました。^{[1]UNECE, "UN Regulation No. 155 - Cyber Security and Cyber Security Management System," unece.org}ISO/SAE 21434、米国大統領令 14028、中国の GB/T 44464-2024フレームワークは、構造化されたソフトウェアのトレーサビリティ、脆弱性管理、サプライヤーによる適合証明、監査証跡をさらに義務付け、または推奨している。^{[2]ISO, "ISO/SAE 21434 Road Vehicles - Cybersecurity Engineering," iso.org} これらの要件により、単発の文書作成ではなく、SBOMライフサイクルの継続的な監視に対する需要が生まれている。

車載ソフトウェアの複雑性が指数関数的に増大

現代の高級車には、数百のECUに分散する1億〜3億行のコードと、150を超えるソフトウェア供給組織が含まれる場合がある。^{[3]NIST, "National Vulnerability Database," nist.gov}ソフトウェア定義型車両のプログラムでは、ADAS、インフォテインメント、クラウドサービス、OTAインフラ、組み込み制御システム間の依存関係が増加する。Stellantisは2024年に2,500万件を超えるOTAアップデートを完了しており、車載ソフトウェアの状態と関連コンポーネントのインベントリがいかに急速に変化するかを示している。

サイバー攻撃の頻度と巧妙化が進展

NISTのNational Vulnerability Databaseは、2024年に29,000件を超える新規CVE開示を記録した。コネクテッドカーを標的とするランサムウェア、ECUの悪用、テレマティクスの侵害、OTAの攻撃経路、ソフトウェアサプライチェーンの脆弱性により、生の脆弱性データを各車両プログラムの実際のソフトウェアおよびアーキテクチャと関連付ける必要性が高まっている。継続的な監視により、脆弱性の開示、優先順位付け、修正、コンプライアンス証跡の間に生じる運用上のギャップが縮小する。

EVおよびSDVの普及加速により攻撃対象領域が拡大

世界のEV販売台数は、2024年に1,700万台に達した。バッテリー管理システム、ドメインコントローラー、V2Xモジュール、テレマティクス制御ユニット、クラウド接続型サービスプラットフォームにより、コンポーネントの可視性と明確な脆弱性対応プロセスを必要とするソフトウェア層が増加している。したがって、SDVの普及は、ガバナンスの対象となるソフトウェア資産の数だけでなく、自動車向けSBOMプラットフォームの商業的な対象範囲も拡大させる。

レガシーワークフローとの統合の複雑性

多くのOEMおよびサプライヤーのプログラムでは、依然として、ハードウェア中心の納入を前提に設計されたAUTOSARベースのECU、長期にわたる車両検証サイクル、分断された開発ツールチェーンが使用されている。元のソースコードやビルド環境を利用できない場合、遡及的なSBOM生成にはバイナリソフトウェア構成分析が必要となることがある。この代替手段によりレガシー車両群まで対象範囲を拡大できる一方、組み込みC、POSIXシステム、独自ミドルウェア、異種の検証プロセスにまたがる導入の複雑性が増す。

SBOM形式の相互運用性の不足

ISO/IEC 5962:2021として標準化されたSPDXとCycloneDXは、いずれも自動車サプライネットワーク全体で使用されており、形式の標準化と交換に関する課題を生み出している。2025年時点で、自動車業界のTier-2ソフトウェアサプライヤーのうち、SBOM生成ワークフローを自動化していた企業は30%未満にとどまり、OEMは成熟したベンダーからの機械可読形式の提出物と、小規模組織からの手動による証明書を組み合わせる必要があった。CISAの最小要素に関するガイダンスは運用上の基準を示しているものの、管轄区域をまたぐサプライヤーへの適用は依然として一貫していない。^{[4]CISA, "Software Bill of Materials Guidance," cisa.gov}

自動車サイバーセキュリティ専門人材の不足

自動車向けSBOMプログラムには、機能安全に関する知識、ISO/SAE 21434に基づくサイバーセキュリティエンジニアリング、DevSecOpsの実務、ソフトウェア構成分析を兼ね備えた人材が必要となる。こうした人材は、OEMおよびサプライヤーの需要に比べて依然として不足している。特にインド、メキシコ、東南アジアでは、国内の自動車ソフトウェア活動とサイバーセキュリティへの期待が、専門人材の育成パイプラインを上回る速度で進展しており、この制約が顕著である。

SBOMフレームワーク導入コストの高さ

企業向けプログラムには、スキャンインフラ、サプライヤーポータル、脆弱性インテリジェンスフィード、コンプライアンス自動化、監視運用、トレーニング、監査支援が必要となる。これらのコストは、利益幅の小さいTier-2以下のサプライヤーにとって吸収が難しい。アフターマーケット事業者やフリート運営事業者も、組織構造の分断化と短期的なサイバーセキュリティ予算の制約に直面しており、ライフサイクル全体のリスクが拡大しているにもかかわらず、導入が遅れている。

自動車向けソフトウェア部品表（SBOM）および脆弱性管理市場のセグメント別分析

ソリューション別

ソフトウェアセグメントの市場収益は2025年に6億3,550万米ドルとなり、市場収益全体の69.0%を占めた。同セグメントは、SBOM生成、コンポーネント依存関係マッピング、CVE相関分析、コンプライアンスダッシュボード、修 remediation tracking、統合CSMS機能を含み、2035年には年平均成長率（CAGR）17.7%で推移し、推定市場規模は33億5,950万米ドルに達する見込みである。CybellumのProduct Security Platform、C2A SecurityのAutoSPIN、Synopsys Black Duck、ETASおよびVector Informatikのツールチェーン・エコシステムは、プラットフォーム中心の商業構造を示している。

サービスセグメントの市場収益は2025年に2億8,500万米ドルとなり、市場シェア31.0%を占めた。2035年には年平均成長率（CAGR）16.4%で推移し、推定市場規模は13億4,310万米ドルに達する見込みである。

プロフェッショナルサービスには、導入・システム統合、コンサルティング、トレーニング・認証が含まれる一方、マネージドサービスには、SBOMの保守・脆弱性モニタリング、サプライヤー向けSBOMポータル・品質保証、コンプライアンス報告・監査支援が含まれます。DNV、AVL、LTTSは、複雑なOEMおよびサプライヤープログラムに伴う保証、エンジニアリング、導入の要件に対応しています。プラットフォーム需要は、従来は個別に提供されていた検出、モニタリング、証跡、修復の各機能を、接続された運用環境へ統合する動きによって形成されています。顧客が定期的なスキャンではなく、最新の脆弱性インテリジェンスとインベントリ更新を必要としていることから、継続課金型SaaS収益の重要性が高まっています。CSMSおよびDevSecOpsツールチェーンとの統合も調達優先順位を変化させています。OEMやサプライヤーは、確立された開発、検証、OTAプロセスに適合しながら、複雑なレガシーシステムやサプライヤー導入に対応するサービス能力を維持できるソリューションを選好する傾向を強めています。ソフトウェアの成長は、車種のカバレッジ、コンポーネント数、サプライヤーの参加拡大に応じて拡大する、継続課金型のライセンス収益およびSaaS収益に支えられています。

サービスは、レガシーシステムとの統合やサプライヤーのオンボーディングに引き続き不可欠ですが、自動化の進展により、収益構成は徐々にソフトウェア中心へ移行すると見込まれます。

機能用途別

SBOM生成・検出の市場規模は2025年に2億6,930万米ドルとなり、機能別シェアは29.3%と最大でした。同機能は、脆弱性モニタリング、コンプライアンス報告、ライセンスガバナンス、サプライチェーン分析に必要なコンポーネントインベントリと依存関係マップを構築します。特に、OEMがネイティブなSBOM生成ワークフローを備えていないレガシーECUファームウェアを把握する必要がある場合、バイナリ検出とソースレベル生成の両方が重要となります。

脆弱性・リスク管理の市場規模は2025年に2億2,460万米ドルとなり、シェアは24.4%を占めました。2035年には、年平均成長率（CAGR）17.8%で11億9,450万米ドルに達すると推定されます。コンプライアンス・ガバナンス管理、ライセンスコンプライアンス管理、サプライチェーンリスク管理は、CSMSの証跡、オープンソースガバナンス、サプライヤー検証、多層的なリスクワークフローを通じて、用途領域を拡張しています。機能面の需要は、初期のインベントリ作成から、リスク、コンプライアンス、サプライヤー関連のワークフロー全体でSBOMデータを継続的に活用する方向へ移行しています。AIを活用した優先順位付けにより、セキュリティチームは大量の未加工CVE開示情報のなかから、運用上関連性の高い脆弱性を識別しやすくなっています。同時に、ライフサイクルモニタリングとコンプライアンス自動化が検出結果を修復証跡に結び付ける一方、サプライチェーン機能は、フォーマット、ツールチェーン、サイバーセキュリティ成熟度が異なるTier 1および下位層の組織全体に、これらの統制を拡張しています。コンポーネントインベントリが不完全であれば、その後のあらゆるサイバーセキュリティおよびコンプライアンスワークフローが弱体化するため、検出は引き続き基盤となる用途です。

AIを活用した脆弱性の優先順位付けは、大量のCVE情報を車両固有の修復計画へ変換することで、リスク管理プラットフォームの価値を高めています。

最終用途別

自動車OEMの市場規模は2025年に3億6,780万米ドルとなり、シェアは40.0%を占めました。2035年には、年平均成長率（CAGR）18.2%で20億2,960万米ドルに達すると推定されます。OEMは、車両型式認証、CSMSガバナンス、車種ラインアップのカバレッジ、サプライヤーとの調整、ライフサイクル全体にわたるサイバーセキュリティ証跡について、直接的な責任を負います。Volkswagen GroupのCARIADにおける活動や、StellantisのサイバーセキュリティおよびOTAガバナンスは、OEMによるソフトウェアセキュリティプログラムの規模を示しています。

Tier-1サプライヤーの市場規模は2025年に3億1,330万米ドルで、市場シェアは34.0%を占めた。2035年には年平均成長率（CAGR）17.2%で、推定15億9,140万米ドルに達すると見込まれる。Tier-2および下位ティアのサプライヤーの市場規模は1億8,130万米ドルで、市場シェアは19.7%を占め、2035年にはCAGR 16.7%で推定8億7,940万米ドルに達する見通しである。アフターマーケットおよびフリート事業者の市場規模は5,800万米ドルで、市場シェアは6.3%を占め、2035年にはCAGR 12.8%で推定2億220万米ドルに達すると予測される。規制圧力が比較的弱く、予算も制約されているため、このセグメントの成長率はOEM主導の需要を下回っている。型式認証に関する説明責任とサイバーセキュリティ・ガバナンス要件が、サプライヤー契約、証跡の提出要請、導入手順へと反映されるため、需要はOEMプログラムから段階的に波及する。そのため、Tier-1企業は下位ティアのソフトウェアデータに関する購入者と調整役の双方を担う。フリートおよびアフターマーケットでの導入は、予算、組織構造、目下のコンプライアンス圧力が相対的に不利であることから、依然として緩やかである。ただし、コネクテッド・フリート運用の拡大とライフサイクル全体にわたる義務の増加により、脆弱性監視およびマネージドサービスの重要性は時間の経過とともに高まる。OEMの要件は連鎖的な需要を生み出す。Tier-1および下位ティアのサプライヤーは、プログラム参加資格を維持するため、コンポーネント・インベントリとサイバーセキュリティの証跡を提出する必要があるためである。

マネージドクラウドサービスは、初期の技術導入費用と専門人材の配置要件を軽減するため、下位ティアでの導入の中心的な役割を担っている。

車種別

乗用車には、ハッチバック、セダン、SUVの各プログラムが含まれる。コネクテッド・インフォテインメント、先進運転支援システム（ADAS）、クラウドサービス、OTAソフトウェア、膨大な数のECUにより、SBOMの網羅範囲に関する要件が高まっている。高級乗用車には、数百個のECUにまたがって1億〜3億行のコードが搭載される場合があり、プログラム規模での自動コンポーネント検出と脆弱性の相関分析が必要となる。

EVおよびSDVのアーキテクチャは、両車種群におけるソフトウェア・ガバナンス要件を一段と高めている。コネクテッド機能が個々のECUの範囲を超え、バッテリー制御、テレマティクス、V2Xインターフェース、クラウドサービス、OTAプロセスにまで広がるためである。乗用車向けプログラムは、コネクテッド機能の幅広い搭載によって数量面の需要を拡大する一方、商用車向けプログラムは、フリート接続と継続的な実稼働利用によって運用面での重要性を高める。いずれの場合も、コンポーネントの変更を車両で稼働している特定のソフトウェア状態に紐付ける必要があるため、SBOM管理の価値は高まる。乗用車の需要は、コネクテッド車および高級車のアーキテクチャが持つソフトウェア集約度によって形成される。

商用車の需要は、今後、フリートレベルの監視とコネクテッド運用におけるセキュリティ要件をより強く反映するようになる。

導入モデル別

クラウドベース（SaaS）の導入による市場規模は2025年に6億3,220万米ドルで、市場シェアは68.7%を占めた。2035年にはCAGR 17.6%で、推定33億1,450万米ドルに達する見通しである。SaaSプラットフォームは、継続的な更新、一元化された脆弱性インテリジェンス、拡張可能なサプライヤーアクセス、初期インフラコストの低減を実現する。Cybellum、C2A Security、VicOne、Upstream Securityは、ライフサイクル監視、リスクの相関分析、サプライヤーとの連携、フリートインテリジェンスにおけるクラウド接続型アプローチを示している。

オンプレミス導入の市場規模は2025年に2億8,830万米ドルで、市場シェアは31.3%を占めた。社内インフラの直接的な管理、レガシーシステムとの統合、または機密性の高い開発環境を必要とするOEMおよびサプライヤー企業にとって、オンプレミス導入は依然として重要である。

多層的なサプライヤー連携と継続的なインテリジェンス更新を一元化されたプラットフォームで拡張しやすいため、クラウド導入がリードしている。

レガシーワークフロー、社内統制、またはプログラム固有のアーキテクチャ要件によってクラウド導入が制限される場合、オンプレミス導入は引き続き重要性を維持する。

自動車向けソフトウェア部品表（SBOM）および脆弱性管理市場の地域別分析

北米

北米の市場規模は2025年に2億4,440万米ドルとなり、世界市場の売上高の26.6%を占めた。2035年には推定14億2,250万米ドルに達し、年平均成長率（CAGR）は18.8%となる見込みで、地域別では最も高い成長率を示す。米国が主要市場であり、大統領令14028、CISAのSBOM最小要素に関する指針、OEMのサプライヤー認定やリスク管理プロセスに影響を及ぼすNHTSAのサイバーセキュリティ慣行に支えられている。2025年第3四半期に北米の自動車ソフトウェアサプライヤー95社を対象に実施した調査では、71%が過去18か月間に主要OEMから正式なSBOM提出要件を受けていた。これは2023年の調査対象企業群の38%と比較して高い水準である。連邦政府の政策はOEMのサプライヤー認定プログラムによって強化されつつあり、SBOMの提出は単発のサイバーセキュリティ対応ではなく、取引参加の反復可能な条件となっている。この構造は、大規模な社内チームを構築せずに最新のインベントリと証跡を維持できるマネージドサービス、クラウドポータル、コンプライアンス支援の導入を促す。北米の成長軌道は、OEMとサプライヤーのエコシステム全体における政策の方向性、企業調達の規律、コネクテッドビークル向けソフトウェア投資の組み合わせを反映している。連邦政府の政策とOEMの契約要件が相乗的に作用し、アジア太平洋地域の現在の売上高基盤がより大きいにもかかわらず、北米は最も急速に成長する市場となっている。

サプライヤーに対する提出要件は、クラウドポータル、フォーマット検証、マネージド・コンプライアンスサービスへの需要を下支えする。

欧州

欧州の市場規模は2025年に2億5,150万米ドルとなり、市場シェアは27.3%を占めた。2035年には推定13億1,300万米ドルに達し、CAGRは17.6%となる見込みである。ドイツは地域の技術拠点であり、Volkswagen、BMW、Mercedes-Benz、ETAS、Vector Informatikおよび各社のTier 1ネットワークに、自動車向け開発ツールとサイバーセキュリティの活動が集中している。UNECE WP.29規則第155号は、2024年7月にEUおよび英国で新型車の型式認証に必須となった。一方、ENISAが2025年1月に更新した「自動車サイバーセキュリティのグッドプラクティス」には、SBOM管理とサプライヤーによる証明に関する明確な指針が追加された。

欧州の取り組みは、ソフトウェア更新、サプライヤーの変更、脆弱性の開示に伴い継続的な証跡が必要となるなか、初期の型式認証対応から継続的なライフサイクル管理へと移行している。ドイツにOEMのエンジニアリング業務と確立された開発ツールが集中していることから、単独のスキャン製品よりも統合プラットフォームの導入が進みやすい。ENISAの指針は、各国当局とサプライヤーに共通の運用基準を提供するとともに、サプライヤーによる証明要件は市場をOEMの中央サイバーセキュリティチームから分散型の開発・調達部門へと広げている。欧州の需要は、裁量的なサイバーセキュリティ支出よりも、型式認証の執行と成熟したOEMの開発環境を基盤としている。

ドイツで確立されたツールチェーンのエコシステムは、SBOM機能を既存のエンジニアリングおよび診断ワークフローに統合できるサプライヤーに有利に働く。

アジア太平洋

アジア太平洋地域は最大の地域市場であり、2025年の市場規模は3億1,850万米ドル、市場シェアは34.6%であった。2035年には年平均成長率（CAGR）16.6%で15億2,830万米ドルに達すると予測される。中国は最大の国別市場であり、GB/T 44464-2024に基づく国内の自動車サイバーセキュリティ要件が、SBOM、脆弱性管理、サプライチェーン・アテステーション、データローカライゼーション要件の形成を左右している。日本と韓国では UNECE WP.29 のサイバーセキュリティ要件に基づく運用が行われている一方、インドのコネクテッドカー・サイバーセキュリティに関する草案の方向性は、2026〜2028年のコンプライアンス機会を支えている。インドと韓国は、域内の主要な新興市場である。中国が国内のコンプライアンスおよびデータローカライゼーションへの期待を適用する一方、日本と韓国が UNECE のプロセスに沿って執行を進めるなか、地域需要の差別化が進んでいる。インドでは、現地生産とコネクテッドカー関連の活動が拡大するにつれ、発展途上にあるコンプライアンス対応期間がさらなる需要源となる。EVおよびSDVプログラムにより、バッテリー、テレマティクス、クラウド接続システム全体でコンポーネントの可視性に対する必要性が高まり、国内および国境を越えたサプライヤー環境の双方を支援できるプラットフォームの価値が上昇している。アジア太平洋地域の市場規模は、自動車生産、EVおよびSDVの導入、ならびに各国のサイバーセキュリティ要件の拡大によって押し上げられている。

中国固有のコンプライアンスおよびデータローカライゼーション要件により、国内のサプライチェーンおよびガバナンス環境に適応したプラットフォームへの需要が生じている。

ラテンアメリカ

ラテンアメリカは2025年、アジア太平洋地域、欧州、北米に続く世界売上高の残り6.7%の一部を占めた。ブラジルは、自動車製造、コネクテッドカー関連の活動、ブラジル一般データ保護法を含むデータガバナンス要件に支えられ、最も有望な新興国市場となっている。メキシコでは、自動車サプライチェーンにおける役割が対象市場の裾野を広げているものの、サイバーセキュリティ人材の不足と導入コストが展開のスピードを制限している。地域での導入は、広範な単独型サイバーセキュリティの近代化よりも、自動車製造および輸出サプライチェーンに追随する形で進む可能性が高い。ブラジルでは、コネクテッドカー関連の活動と現地のデータガバナンス要件を組み合わせられるため、最も有力な参入拠点となる。一方、メキシコでは、北米の生産ネットワークに結び付いたサプライヤーへのアクセスが得られる。マネージドSaaS、段階的なオンボーディング、重点を絞ったコンプライアンスサービスは、大規模な社内サイバーセキュリティチームを必要とする大規模な完全統合型導入よりも、地域のコスト構造に適合している。ブラジルは、新興市場における自動車サイバーセキュリティ需要を求めるサプライヤーにとって、ラテンアメリカにおける主要な参入拠点となる。

下位層サプライヤーの採算性と専門人材の不足により、大規模な初期投資型プログラムよりも、マネージドSaaSと段階的なコンプライアンス対応が選好されている。

中東・アフリカ

中東・アフリカ（MEA）は2025年、アジア太平洋地域、欧州、北米、ラテンアメリカに続く世界売上高の残り4.7%を占めた。GCCのサイバーセキュリティ規制枠組み、サウジアラビア国家サイバーセキュリティ庁（NCA）の必須サイバーセキュリティ管理策、SASOの技術規則、UAEの情報保証基準が、地域の政策環境を形成している。自動車SBOMの導入は、導入コスト、分散した需要、専門的な車両サイバーセキュリティ人材の不足により、依然として制約されている。コネクテッドモビリティの取り組みは、国家のサイバーセキュリティ管理策により、車両ソフトウェアとデータのガバナンスを実証することが求められる地域で、最も明確な短期的需要を生み出している。

GCCの枠組みとサウジアラビアおよびUAEの政策方針により、広範な裁量的プラットフォーム支出よりも、コンプライアンス主導のプログラムの重要性が高まっている。導入は、サプライヤーの成熟度にばらつきがあり、専門人材の確保が制約され、現在の地域展開プログラムの規模も限定的であることに対応できる、ホステッド型モニタリング、対象を絞った評価、サービス主導型の取り組みから始まる可能性が高い。MEAの需要は、コネクテッドモビリティプログラムや国家的なサイバーセキュリティ管理によって明確なコンプライアンス要件が生じる領域で、選択的に拡大する見込みである。

サービス主導型およびクラウド提供型のモデルは、大規模で完全統合されたエンタープライズ導入よりも、現在の同地域の市場成熟度に適合している。

自動車ソフトウェア部品表（SBOM）および脆弱性管理市場のシェアと競争環境

Cybellum — 市場シェア 7.8%

LG Electronics傘下のCybellumは、市場シェア7.8%で市場をリードしている。LGは2022年に約2億4,000万米ドルで同社を買収し、リソースと自動車分野へのチャネルアクセスを強化した。CybellumのProduct Security Platformは、バイナリベースのコンポーネント検出、依存関係マッピング、CVE相関分析、修 remediationワークフロー、500以上の接点をサポートするサプライヤーポータル、コンプライアンス報告機能を組み合わせており、世界の上位10社のOEMプログラムの複数で導入されている。

ETAS — 市場シェア 4.9%

ETASは、Bosch GroupおよびESCRYPTの機能を通じて、市場シェア4.9%を占めた。同社は、TARA、SBOM生成、脆弱性モニタリング、ISO/SAE 21434コンプライアンスを、Bosch INCA、AUTOSAR、診断および自動車開発環境と統合している。この組み込み型ツールチェーンのポジションにより、Bosch関連のエンジニアリングワークフローをすでに運用しているOEMおよびTier-1顧客にとって、統合時の摩擦が軽減される。

Vector Informatik — 市場シェア 3.8%

Vector Informatikは市場シェア3.8%を占め、CANalyzer、CANoe、VectorCASTのエコシステムを自動車サイバーセキュリティおよびSBOM生成へ拡張している。2024年4月、同社はCycloneDX形式のSBOMエクスポート機能を備えたVectorCAST Security拡張機能を開始し、サプライヤーが既存のテストおよび検証ワークフローからコンポーネントインベントリを作成できるようにした。ツールチェーンにネイティブな生成機能により、新たなデータ収集経路を構築する必要がある単独型プラットフォームとの差別化を図っている。

Argus Cyber Security / PlaxidityX — 市場シェア 3.0%

Argus Cyber Securityは、ContinentalのPlaxidityXブランドの下で統合され、市場シェア3.0%を占めた。Continentalは2017年にArgusを買収し、同社が培ってきたECUおよびテレマティクスセキュリティの知見を、Elektrobitのソフトウェアセキュリティ機能と統合した。Continentalが有するTier-1サプライチェーンへのアクセスにより、PlaxidityXは世界の自動車製造プログラム全体で組み込み型の販売チャネルを確保している。

Synopsys — 市場シェア 2.5%

Synopsysは、Black Duckプラットフォームを通じて市場シェア2.5%を占めた。同プラットフォームは、混在するプロプライエタリソフトウェアとオープンソースソフトウェアのスタックを管理する自動車関連組織向けに、エンタープライズ向けソフトウェア構成分析、オープンソース検出、ライセンスコンプライアンス、CVSSを付加した悪用可能性スコアリングを提供する。確立されたDevSecOpsのポジションにより、OEMおよびサプライヤーがエンタープライズSCAの実践を車両ガバナンスへ拡張する際の、リスクを抑えた導入経路を提供している。

VicOne - 2.0%の市場シェア

2021年にTrend Microから分離して設立されたVicOneは、2.0%の市場シェアを占めた。同社のxNexusおよびxCarbonプラットフォームは、自動車向けソフトウェア部品表（SBOM）分析と、1日当たり2,500億件を超える脅威クエリを網羅するTrend Microのインテリジェンスを連携させる。2025年3月、VicOneはAIを活用したCVEの優先順位付け機能を備えたxNexus 2.0を発売し、コネクテッド車両のフリート運営者においてアラート量を最大70%削減したと報告した。

C2A Security - 1.8%の市場シェア

C2A Securityは1.8%の市場シェアを占め、AutoSPIN DevSecOpsプラットフォームを提供している。AutoSPINは、SBOMの生成、CVE管理、コンプライアンス報告をCI/CDワークフローに統合し、車両ソフトウェア開発とセキュリティガバナンスの間にあるギャップに対応する。2025年4月、AutoSPIN 3.0が一般提供され、SPDXとCycloneDXの双方向変換、および多層的なSBOM収集に対応するサプライヤーポータルが追加された。

自動車向けSBOMおよび脆弱性管理市場で事業を展開する主要企業には、AUTOCRYPT、AVL、DNV、Harman International、LTTS、Upstream Security、CYMOTIVE Technologies、Finite State、Karamba Security、Secure Elements、Agnile Technologies、VxLabs（ThreatZ）などがある。

最近の業界動向

• 2025年4月：C2A SecurityはAutoSPIN 3.0の一般提供開始を発表し、SPDXとCycloneDXの双方向変換および多層的なSBOM収集に対応するサプライヤーポータルを追加した。このリリースは、相互運用性と導入時の障壁という中心的な課題に対応する。

• 2025年3月：VicOneは、Trend Microの脅威インテリジェンスと車両アーキテクチャのコンテキストスコアリングを組み合わせた、AIを活用したCVEの優先順位付け機能を備えるxNexus 2.0を発売した。初期導入データでは、コネクテッド車両のフリート運営者においてアラート量が最大70%削減されたと報告された。

• 2025年1月：ENISAは、自動車サイバーセキュリティの優良事例を更新し、UNECE WP.29規則第155号に整合した、SBOM管理およびサプライヤーによる証明の枠組みを明示した。

• 2024年11月：Cybellumは、サプライヤーSBOMポータルを追加してProduct Security Platformを拡張した。同ポータルは、最大500のサプライヤー接点からの収集、形式検証、システムへの取り込みを自動化する。このモジュールは、欧州の自動車メーカー上位10社のうち2社での導入に続くものだった。

• 2024年10月：CISAは輸送インフラ向けSBOMガイダンスを更新し、自動車を重要インフラの優先分野に指定するとともに、最低限の要素をNTIAの枠組みに整合させた。