Λογισμικό Bill of Materials (SBOM)

Το Software Bill of Materials (SBOM) είναι ένα δομημένο απόθεμα όλων των στοιχείων, βιβλιοθηκών, εξαρτήσεων και λειτουργικών μονάδων που συνθέτουν ένα προϊόν λογισμικού. Παραθέτει κάθε στοιχείο με την έκδοση, την άδεια, τον προμηθευτή και τις γνωστές ευπάθειες. Τα SBOM διατίθενται σε τυπικές μορφές — CycloneDX (πρότυπο OWASP, προτιμάται για την ασφάλεια στον κυβερνοχώρο), SPDX (πρότυπο ISO/IEC 5962, προτιμάται για συμμόρφωση με άδεια) και SWID (ISO/IEC 19770-2). Τα SBOM απαιτούνται από τον νόμο της ΕΕ για την ανθεκτικότητα στον κυβερνοχώρο, DORA, και απαιτούνται όλο και περισσότερο από τους αγοραστές επιχειρήσεων για τη δέουσα επιμέλεια για την ασφάλεια στον κυβερνοχώρο εφοδιασμού.

Τα σύγχρονα προϊόντα λογισμικού αποτελούνται κυρίως από στοιχεία ανοιχτού κώδικα και τρίτων — συχνά το 80-90% της βάσης κώδικα. Χωρίς SBOM, οι οργανισμοί δεν γνωρίζουν τι υπάρχει στο λογισμικό τους, καθιστώντας αδύνατη την αξιολόγηση του κινδύνου κυβερνοασφάλειας, τη διαχείριση των υποχρεώσεων άδειας χρήσης ή την απόκριση σε αποκαλύψεις ευπάθειας. Ο νόμος της ΕΕ για την ανθεκτικότητα στον κυβερνοχώρο (CRA) καθιστά υποχρεωτικά τα SBOM για κάθε προϊόν με ψηφιακά στοιχεία που πωλούνται στην ΕΕ — απαιτώντας από τους κατασκευαστές να διατηρούν αποθέματα εξαρτημάτων και να αναφέρουν ευπάθειες. Η DORA απαιτεί από τις χρηματοοικονομικές οντότητες να διατηρούν μητρώα περιουσιακών στοιχείων ΤΠΕ που περιλαμβάνουν αποθέματα στοιχείων λογισμικού. Οι επιχειρηματίες αγοραστές απαιτούν ολοένα και περισσότερο τα SBOM ως προϋπόθεση για την προμήθεια, καθιστώντας τα απαραίτητα για την πρόσβαση στην αγορά στην αγορά λογισμικού B2B.

Τα CycloneDX SBOM είναι η προτεινόμενη μορφή OWASP για συμμόρφωση με την ασφάλεια στον κυβερνοχώρο — περιλαμβάνουν αποθέματα στοιχείων, γραφήματα εξαρτήσεων, αναφορές ευπάθειας (μέσω ενσωμάτωσης με βάσεις δεδομένων ευπάθειας) και δεδομένα σχέσεων αλυσίδας εφοδιασμού. Τα SPDX SBOM είναι η τυπική μορφή ISO/IEC 5962 που επικεντρώνεται σε μεταδεδομένα πακέτου λογισμικού, πληροφορίες άδειας χρήσης και αναφορές ασφαλείας — προτιμάται για συμμόρφωση με άδεια χρήσης ανοιχτού κώδικα και διαφάνεια λογισμικού. Οι αναφορές αποκάλυψης ευπάθειας παρακολουθούν συντονισμένες πολιτικές αποκάλυψης ευπάθειας, προγράμματα επιβράβευσης σφαλμάτων και γνωστά μητρώα ευπάθειας — που απαιτούνται από το άρθρο 13 του ΟΑΠΙ για τις υποχρεώσεις ασφαλείας του κατασκευαστή. Τα μητρώα αδειών ανοιχτού κώδικα παρακολουθούν τις άδειες χρήσης στοιχείων (MIT, GPL, Apache, κ.λπ.) και την κατάσταση συμμόρφωσης — απαραίτητη για τη συμμόρφωση διανομής λογισμικού και τη διακυβέρνηση IP.

Τα αρχεία SBOM σε μορφή CycloneDX, SPDX ή CSV μεταφορτώνονται στο Sustalium. Το σύστημα εξάγει αποθέματα στοιχείων, σχέσεις εξάρτησης, πληροφορίες άδειας χρήσης και αναφορές ευπάθειας — αντιστοιχίζοντάς τα στα σχετικά πλαίσια συμμόρφωσης. Τα δεδομένα στοιχείων τροφοδοτούνται σε αρχεία συμμόρφωσης CRA (υποχρεώσεις αναφοράς ευπάθειας του άρθρου 13), στα μητρώα DORA ICT (απαιτήσεις απογραφής περιουσιακών στοιχείων λογισμικού) και στη δέουσα επιμέλεια της αλυσίδας εφοδιασμού λογισμικού GDPR. Οι πληροφορίες άδειας χρήσης υποστηρίζουν στοιχεία συμμόρφωσης ανοιχτού κώδικα και διακυβέρνησης IP. Τα δεδομένα ευπάθειας οδηγούν σε συνεχείς διαδικασίες διαχείρισης ευπάθειας. Τα δεδομένα SBOM συνδέονται με SKU προϊόντων και διαχείριση εκδόσεων, επιτρέποντας την παρακολούθηση της συμμόρφωσης σε επίπεδο προϊόντος σε όλο το χαρτοφυλάκιο λογισμικού.

Ο νόμος της ΕΕ για την ανθεκτικότητα στον κυβερνοχώρο (CRA) είναι ο κύριος ρυθμιστικός οδηγός — απαιτεί από τους κατασκευαστές προϊόντων με ψηφιακά στοιχεία να δημιουργούν και να διατηρούν SBOM, να αναφέρουν τρωτά σημεία και να διασφαλίζουν ότι τα στοιχεία είναι απαλλαγμένα από γνωστά εκμεταλλεύσιμα τρωτά σημεία. Ο νόμος DORA (Digital Operational Resilience Act) απαιτεί από τις χρηματοοικονομικές οντότητες να διατηρούν ολοκληρωμένα μητρώα περιουσιακών στοιχείων ΤΠΕ που περιλαμβάνουν αποθέματα στοιχείων λογισμικού. Το άρθρο 32 του ΓΚΠΔ απαιτεί τα κατάλληλα μέτρα ασφαλείας για την επεξεργασία προσωπικών δεδομένων — Τα SBOM βοηθούν στην αξιολόγηση και επαλήθευση της ασφάλειας του λογισμικού που επεξεργάζεται προσωπικά δεδομένα. Ο νόμος της ΕΕ για την τεχνητή νοημοσύνη απαιτεί στοιχεία ενεργητικού λογισμικού για συστήματα τεχνητής νοημοσύνης υψηλού κινδύνου. ISO 27001 Παράρτημα Α Ο έλεγχος A.8.8 απαιτεί διαχείριση τεχνικών τρωτών σημείων — τα SBOM είναι το θεμέλιο. Το Εκτελεστικό Διάταγμα 14028 των ΗΠΑ επιβάλλει τα SBOM για όλο το λογισμικό που πωλείται στην κυβέρνηση των ΗΠΑ.