Softwarestykliste (SBOM)

En Software Bill of Materials (SBOM) er en struktureret opgørelse over alle komponenter, biblioteker, afhængigheder og moduler, der udgør et softwareprodukt. Den viser hver komponent med dens version, licens, leverandør og kendte sårbarheder. SBOM'er kommer i standardformater - CycloneDX (OWASP-standard, foretrukket til cybersikkerhed), SPDX (ISO/IEC 5962-standard, foretrukket til overholdelse af licenser) og SWID (ISO/IEC 19770-2). SBOM'er er påkrævet af EU's Cyber ​​Resilience Act, DORA, og efterspørges i stigende grad af virksomhedskøbere til forsyningskædens cybersikkerhed due diligence.

Moderne softwareprodukter er primært sammensat af open source- og tredjepartskomponenter - ofte 80-90% af kodebasen. Uden en SBOM ved organisationer ikke, hvad der er i deres software, hvilket gør det umuligt at vurdere cybersikkerhedsrisiko, administrere licensforpligtelser eller reagere på afsløringer af sårbarheder. EU's Cyber ​​Resilience Act (CRA) gør SBOM'er obligatoriske for ethvert produkt med digitale elementer, der sælges i EU - hvilket kræver, at producenterne vedligeholder komponentbeholdninger og rapporterer sårbarheder. DORA kræver, at finansielle enheder vedligeholder IKT-aktiverregistre, der inkluderer opgørelser over softwarekomponenter. Virksomhedskøbere kræver i stigende grad SBOM'er som en betingelse for indkøb, hvilket gør dem afgørende for markedsadgang på B2B-softwaremarkedet.

CycloneDX SBOM'er er det OWASP-anbefalede format til compliance med cybersikkerhed - de inkluderer komponentopgørelser, afhængighedsgrafer, sårbarhedsreferencer (via integration med sårbarhedsdatabaser) og data om forsyningskædeforhold. SPDX SBOM'er er ISO/IEC 5962-standardformatet med fokus på softwarepakkemetadata, licensoplysninger og sikkerhedsreferencer - foretrukket til open source-licensoverholdelse og softwaregennemsigtighed. Rapporter om afsløring af sårbarheder sporer koordinerede politikker for afsløring af sårbarheder, bug-bounty-programmer og kendte sårbarhedsregistre – krævet af CRA artikel 13 for fabrikantens sikkerhedsforpligtelser. Open source-licensregistre sporer komponentlicenser (MIT, GPL, Apache osv.) og overholdelsesstatus - afgørende for overholdelse af softwaredistribution og IP-styring.

SBOM-filer i CycloneDX-, SPDX- eller CSV-format uploades til Sustalium. Systemet udtrækker komponentopgørelser, afhængighedsforhold, licensoplysninger og sårbarhedsreferencer - og kortlægger dem til de relevante overholdelsesrammer. Komponentdata føres ind i CRA-overholdelsesregistre (artikel 13-sårbarhedsrapporteringsforpligtelser), DORA ICT-registre (krav til opgørelse af softwareaktiver) og GDPR-softwareforsyningskædens due diligence. Licensoplysninger understøtter open source-overholdelse og IP-styringsaktiver. Sårbarhedsdata driver løbende sårbarhedshåndteringsprocesser. SBOM-data er knyttet til produkt-SKU'er og versionsstyring, hvilket muliggør overholdelsessporing på produktniveau på tværs af softwareporteføljen.

EU's Cyber ​​Resilience Act (CRA) er den primære regulatoriske drivkraft – den kræver, at producenter af produkter med digitale elementer skaber og vedligeholder SBOM'er, rapporterer sårbarheder og sikrer, at komponenter er fri for kendte sårbarheder, der kan udnyttes. DORA (Digital Operational Resilience Act) kræver, at finansielle enheder opretholder omfattende IKT-aktivregistre, der inkluderer opgørelser over softwarekomponenter. GDPR artikel 32 kræver passende sikkerhedsforanstaltninger for behandling af personoplysninger - SBOM'er hjælper med at vurdere og verificere sikkerheden af ​​software, der behandler personoplysninger. EU AI Act kræver softwarekomponentaktiver til højrisiko AI-systemer. ISO 27001 Annex A kontrol A.8.8 kræver håndtering af tekniske sårbarheder — SBOM'er er grundlaget. US Executive Order 14028 pålægger SBOM'er for al software, der sælges til den amerikanske regering.