【2026年】無料で使えるSBOMツールおすすめ4選｜商用利用の可否・有料版との違いも紹介

無料のSBOMツールは、役割によって種類が分かれます。SBOMを作るツール、脆弱性を検知するツール、SBOMを管理するプラットフォームの3つです。無料の中身は、オープンソースと、無料プランの2つに整理できます。SBOMの定義はSBOMとはで解説しています。

オープンソースのフリーソフトの特長

SyftとTrivyは、どちらもApache 2.0のライセンスで公開されています。ライセンス費用がかからず、コマンドラインから手軽に使える点が特長です。

どちらも、SBOMの標準形式であるCycloneDXとSPDXに対応しています。生成したSBOMは、他のツールへ受け渡して使えます。

役割の違いを分けて考える

SBOMの運用は、生成、検知、管理の3つの作業で成り立っています。Syftは生成、Trivyは検知と生成、Dependency-Trackは管理が中心です。

1つのツールで全てを賄えるとは限りません。無料のツールを組み合わせて、自社の運用に合う形を作ることになります。

無料版と有料版の違いは、機能の数よりも、運用を支える条件にあります。サポート、管理の機能、国内の導入支援が主な差です。次の表で全体像を確認してください。

継続的な管理の仕組みが差になる

SBOMは、作って終わりではなく、新しい脆弱性が見つかるたびに照合し続ける必要があります。有料版は、この継続的な管理や通知の仕組みを備える製品が多い傾向です。

無料のツールで運用する場合は、定期的な実行や通知の仕組みを、自社で組むことになります。担当者の工数を見込んでおきましょう。

サポートと国内の導入支援

製造業のSBOMは、取引先への提出や、製品の出荷後の脆弱性対応に関わります。不具合や運用の疑問を相談できる窓口が、有料版の価値のひとつです。

国内には、導入支援やコンサルを含めて提供する製品があります。有料版の費用は組込みセキュリティの費用で整理しています。

価格差の目安

SnykのFreeプランは、月額0ドルです。Teamプランは、月額25ドルからです。

JFrog Xrayのように、構成によって月額150ドルから950ドルまで広がる製品もあります。国内の大手は、個別見積もりが中心です。

無料のSBOMツールを選ぶときは、機能の多さよりも、自社の開発と出荷の流れに合うかを先に確認します。確認する項目は、商用利用、対応する形式、対象の言語、運用の体制、サポートの5つです。選び方の全体像はSBOMツールの選び方も参考になります。

商用利用できるか

最初に確認するのは、会社の業務で使ってよいかどうかです。SyftとTrivyは、Apache 2.0のライセンスで公開されています。

無料プランは、利用規約で用途が定められている場合があります。商用の開発に使う前に、規約を確認しましょう。

SBOMの標準形式への対応

取引先や発注元が求めるSBOMの形式を、先に確認しましょう。標準の形式には、CycloneDXとSPDXがあります。

Syftは、CycloneDXとSPDXの両方で出力できます。Dependency-Trackが取り込むのは、CycloneDXのSBOMです。

対象の言語とファイルの範囲

組込み製品は、CやC++のソースに加え、OSのパッケージやコンテナも含みます。ツールが対象とする範囲を、確認しておきましょう。

Syftは、数多くのパッケージ形式を認識します。Alpine、Debian、RPMのほか、Go、Python、Javaなどです。自社の構成に合うかは、実際のデータで試しましょう。

運用の体制と自動化

SBOMは、開発のたびに更新する必要があります。ビルドの流れに組み込み、自動で生成する運用が現実的です。

Trivyは、GitHub ActionsやKubernetesなどと連携できます。運用を自動化できる範囲も、選ぶときの目安です。

サポートと更新頻度

無料の製品は、公式の窓口が限られます。ドキュメントやコミュニティの有無は、運用の安定を左右する要素です。

Dependency-Trackは、バージョン5.2まで更新されています。更新が続いているかも、選ぶ目安になります。

無料の範囲、商用利用、制限、対応形式、有料版の価格目安を4製品で並べました。最初の1製品は製品ページがあるもので、残りの3製品はオープンソースです。条件は2026年時点の公開情報に基づきます。

各製品の無料範囲や条件は、導入前に公式サイトで最新の情報を確認してください。無料プランの条件は、提供元の都合で変更されることがあります。

ここでは、製品ページがあるSnykを先に紹介します。続いて、オープンソースの3製品を紹介します。各製品の冒頭に、無料の種類、商用利用、向いている企業、注意点をまとめました。

Snyk

• 無料の種類：Freeプラン（月額0ドル）
• 商用利用：公式の利用規約で確認
• 向いている企業：開発環境の中で、依存ライブラリの脆弱性を手軽に確認したい小規模な開発チーム
• 注意点：プロジェクト数と検査回数に上限がある

Snykは、ソースコードや依存ライブラリの脆弱性を検出する開発者向けのサービスです。Freeプランでは、SCA、Snyk Code、IaC、コンテナの検査を使えます。

IDEやCLI、ソースコード管理との連携に対応します。上限は、5プロジェクトと、Snyk Codeの月100回です。Teamプランは月額25ドルからで、10人の開発者まで使えます。

編集部コメント：開発の現場で、脆弱性の確認を始めたいときに向きます。SBOMの出力や商用の条件は、公式で確認してください。

Syft

• 無料の種類：オープンソース（Apache-2.0）
• 商用利用：可（ライセンス条件に従う）
• 向いている企業：ビルドの流れに組み込んで、SBOMを自動で生成したい開発部門
• 注意点：生成が中心。脆弱性の管理は別のツールと組み合わせる

Syftは、コンテナイメージやファイルシステムから、SBOMを生成するCLIとライブラリです。ディレクトリやアーカイブも対象にできます。

出力形式は、CycloneDX、SPDX、Syft JSONなどです。認識するパッケージ形式は、Alpine、Debian、RPMのほか、Go、Python、Javaなどです。同じAnchoreのGrypeと組み合わせると、脆弱性の検査につなげられます。

編集部コメント：SBOMの生成に特化した、扱いやすい選択肢です。出力したSBOMの保管と管理は、別の仕組みで用意しましょう。

Trivy

• 無料の種類：オープンソース（Apache 2.0）
• 商用利用：可（ライセンス条件に従う）
• 向いている企業：コンテナやリポジトリの脆弱性検査とSBOM生成を、1つのツールで行いたい開発部門
• 注意点：運用の自動化と通知は、自社で組む

Trivyは、コンテナやKubernetes、コードのリポジトリを対象にしたスキャナです。脆弱性、設定の不備、秘密情報、ライセンスを検出し、SBOMの生成も行います。

Go言語で書かれ、Homebrew、Docker、バイナリで入手できる形です。GitHub ActionsやKubernetesとも連携できます。商用の拡張は、Aqua Securityが提供しています。

編集部コメント：検知と生成を1つで行えるため、導入の手間を抑えやすい製品です。管理の仕組みは、別のツールで補いましょう。

OWASP Dependency-Track

• 無料の種類：オープンソース（OWASP）
• 商用利用：公式で確認
• 向いている企業：複数の製品のSBOMを一元的に管理し、脆弱性を継続的に追跡したい企業
• 注意点：自社でサーバーを運用する必要がある

Dependency-Trackは、オープンソースのプラットフォームです。ソフトウェアのサプライチェーンのリスクを管理します。CycloneDXのSBOMを取り込み、複数の脆弱性情報と照合する仕組みです。NVDやGitHub Advisoriesなどが対象です。

ポリシーに基づく判定や、継続的な監視を行えます。管理の対象は、ライブラリ、コンテナ、OS、ファームウェア、サービスまで広がります。Docker Composeで、PostgreSQLを使う構成を短時間で立ち上げられる点も特徴です。

編集部コメント：生成したSBOMの管理を、無料で整えたい場合の有力な選択肢です。サーバーの運用と更新は、自社の担当になります。

有料のSBOM・SCAツールの比較は組込みセキュリティの比較記事もご覧ください。

無料のSBOMツールには、ライセンス費用を抑えて始められるというメリットがあります。一方で、運用を継続するには、組み合わせの設計や担当者の工数に注意が必要です。製造業の実務に即して、以下で整理しましょう。

費用を抑えて、SBOMの運用を試せる

オープンソースのツールは、ライセンス費用がかかりません。小規模な開発チームでも、SBOMの生成と脆弱性の検査を、すぐに試せます。

標準形式のSBOMを作れるため、後から有料ツールへ移る場合も、データを活用しやすくなります。

複数のツールを組み合わせる設計が要る

無料のツールは、生成、検知、管理のどれかに特化した製品が多くあります。1つで全てを賄えない場合は、複数のツールをつなぐ設計が必要です。

つなぎ込みの作業や、バージョンの管理は、自社の負担になります。担当者の工数を、費用として見込んでおきましょう。

継続的な運用と脆弱性への対応

SBOMは、脆弱性が新たに公開されるたびに、照合し直す必要があります。定期的な実行や通知の仕組みを、自社で整える場面が増えます。

運用が止まると、出荷済みの製品の脆弱性に気づけません。担当者が替わっても続くよう、手順を文書にしておきましょう。

無料プランの上限と利用規約

Snykの無料プランは、プロジェクト数や検査回数に上限があります。商用の開発では、すぐに上限へ達する場合があります。

商用での利用条件は、利用規約で確認しましょう。上限を超える前に、有料プランへの切り替えを検討します。

サポートと取引先への説明

オープンソースの問い合わせ先は、フォーラムなどに限られる形です。不具合の解決に時間がかかり、提出の期限が近い場面では支障が出ます。

取引先へSBOMを提出する場合は、作成の方法と管理の体制を、説明できる必要があります。ツールの選定の理由を、記録しておきましょう。

編集部コメント：無料のSBOMツールは、小規模な試行や、生成の自動化に向いています。製品の出荷や取引先への提出で継続して使うなら、管理とサポートを備えた有料版を比較してください。

無料のSBOMツールで始めても、製品の数や取引先の要求が増えると、有料版が必要になる時期が来ます。切り替えのサインを見逃さないことが、手戻りの防止につながります。以下に目安をまとめました。

切り替えを考えるサイン

切り替えを検討する主なサインは、次の4つです。

• 管理する製品が増え、SBOMの更新と照合が手作業では追いつかなくなった
• 取引先から、SBOMの提出や管理体制の説明を求められた
• 運用を担う担当者の負荷が大きくなった
• 障害時に、すぐ相談できる窓口が必要になった

有料版の価格帯

SnykのTeamプランは、月額25ドルからです。JFrog Xrayは、構成によって月額150ドルから950ドルまで広がります。

国内の大手は、個別見積もりが中心です。詳しい試算は組込みセキュリティの費用で解説しています。

次に読む記事

有料の製品を比べるなら、組込みセキュリティの比較記事が役立ちます。選び方は組込みセキュリティの選び方、メーカーの特徴は組込みセキュリティのメーカーが参考になります。

製品の一覧から探したい場合は、組込みセキュリティのカテゴリページをご覧ください。

無料のSBOMツールについて、よくある疑問に答えます。無料ツールの有無、商用利用の可否、有料版との違いなどです。

SBOMを無料で作成できるツールはありますか？

あります。SyftとTrivyは、オープンソースで、SBOMを生成できるツールです。CycloneDXやSPDXの形式に対応しています。

生成したSBOMの管理には、オープンソースのDependency-Trackが使われます。開発者向けには、SnykのFreeプランも選択肢です。

無料のSBOMツールは商用利用できますか？

SyftとTrivyは、Apache 2.0などのライセンスのもとで公開されています。ライセンス条件を守れば、商用の開発に使えます。

SnykのFreeプランやDependency-Trackは、導入前に、公式の利用条件を確認してください。

無料ツールだけで、取引先へのSBOM提出に対応できますか？

標準形式のSBOMを生成し、管理する仕組みを組み合わせれば、対応できる場合があります。ただし、運用の体制や、脆弱性への継続的な対応は、自社で整える必要があります。

提出の頻度や対象の製品が多い場合は、有料版の導入支援も選択肢です。取引先の要求する形式を、先に確認しましょう。

無料で始めたSBOMの運用を、後から有料版へ移せますか？

CycloneDXやSPDXなどの標準形式で保存していれば、移しやすい傾向です。有料ツールは、多くが標準形式の取り込みに対応しています。

管理のルールや通知の設定は、移行先で作り直す場合があります。移行前に、取り込みを試しておくと安心です。

無料のSBOMツールは、生成、検知、管理の役割ごとに、選び分けることが重要です。SBOMの生成なら、SyftやTrivy、管理ならOWASP Dependency-Trackが候補です。開発環境で手軽に試すなら、SnykのFreeプランがあります。

製品の出荷や取引先への提出で継続して使うなら、有料のSBOM・SCAツールの比較やカテゴリページも参考になります。判断の要点は、商用利用の可否、運用の体制、サポートの有無です。価格や条件は2026年時点の情報のため、導入前に公式サイトで最新の内容を確認してください。