Software Bill of Materials (SBOM)

Software Bill of Materials (SBOM) on jäsennelty luettelo kaikista komponenteista, kirjastoista, riippuvuuksista ja moduuleista, jotka muodostavat ohjelmistotuotteen. Siinä luetellaan jokainen komponentti version, lisenssin, toimittajan ja tunnetuineen haavoittuvuuksineen. SBOM:t ovat vakiomuodoissa — CycloneDX (OWASP-standardi, suositeltu kyberturvallisuuden kannalta), SPDX (ISO/IEC 5962 -standardi, suositeltu lisenssin noudattamiseksi) ja SWID (ISO/IEC 19770-2). EU:n Cyber ​​Resilience Act (DORA) edellyttää SBOM-laitteita, ja yritysostajat vaativat niitä yhä enemmän toimitusketjun kyberturvallisuuden due diligence -tarkastuksessa.

Nykyaikaiset ohjelmistotuotteet koostuvat pääasiassa avoimen lähdekoodin ja kolmannen osapuolen komponenteista – usein 80–90 % koodikannasta. Ilman SBOM:ia organisaatiot eivät tiedä, mitä niiden ohjelmistoissa on, mikä tekee mahdottomaksi arvioida kyberturvallisuusriskejä, hallita lisenssivelvoitteita tai vastata haavoittuvuuksista kertoviin tietoihin. EU:n Cyber ​​Resilience Act (CRA) tekee SBOM:t pakollisiksi kaikille EU:ssa myytäville digitaalisia elementtejä sisältäville tuotteille, mikä edellyttää valmistajien ylläpitävän komponenttivarastoja ja raportoivan haavoittuvuuksista. DORA vaatii rahoitusyksiköitä ylläpitämään ICT-omaisuusrekistereitä, jotka sisältävät ohjelmistokomponenttivarastot. Yritysostajat vaativat yhä useammin SBOM:ita hankintansa edellytyksenä, mikä tekee niistä välttämättömiä markkinoille pääsylle B2B-ohjelmistomarkkinoilla.

CycloneDX SBOM:t ovat OWASP:n suosittelemia muotoja kyberturvallisuuden noudattamiseen – ne sisältävät komponenttiluettelot, riippuvuuskaaviot, haavoittuvuusviitteet (integroinnin kautta haavoittuvuustietokantoihin) ja toimitusketjun suhdetiedot. SPDX SBOM:t ovat ISO/IEC 5962 -standardimuoto, joka keskittyy ohjelmistopaketin metatietoihin, lisenssitietoihin ja suojausviittauksiin – suositaan avoimen lähdekoodin lisenssien noudattamisen ja ohjelmiston läpinäkyvyyden vuoksi. Haavoittuvuuden paljastamisraportit seuraavat koordinoituja haavoittuvuuksien paljastamiskäytäntöjä, bugipalkkio-ohjelmia ja tunnettuja haavoittuvuusrekistereitä – joita CRA:n artikla 13 edellyttää valmistajan turvallisuusvelvoitteista. Avoimen lähdekoodin lisenssirekisterit seuraavat komponenttien käyttöoikeuksia (MIT, GPL, Apache jne.) ja vaatimustenmukaisuuden tilaa – olennaista ohjelmistojen jakelun vaatimustenmukaisuuden ja IP-hallinnan kannalta.

SBOM-tiedostot CycloneDX-, SPDX- tai CSV-muodossa ladataan Sustaliumiin. Järjestelmä poimii komponenttivarastot, riippuvuussuhteet, lisenssitiedot ja haavoittuvuusviittaukset – yhdistäen ne asiaankuuluviin vaatimustenmukaisuuskehyksiin. Komponenttitiedot syötetään luottoluokituslaitosten vaatimustenmukaisuustietueisiin (artikla 13:n haavoittuvuusraportointivelvoitteet), DORA ICT -rekistereihin (ohjelmistoomaisuuden inventaariovaatimukset) ja GDPR-ohjelmiston toimitusketjun due diligence -tarkastukseen. Lisenssitiedot tukevat avoimen lähdekoodin vaatimustenmukaisuutta ja IP-hallintaresursseja. Haavoittuvuustiedot ohjaavat jatkuvia haavoittuvuuksien hallintaprosesseja. SBOM-tiedot on linkitetty tuotteiden SKU:ihin ja versionhallintaan, mikä mahdollistaa tuotetason vaatimustenmukaisuuden seurannan koko ohjelmistovalikoimassa.

EU:n Cyber ​​Resilience Act (CRA) on ensisijainen sääntelytekijä – se vaatii digitaalisia elementtejä sisältävien tuotteiden valmistajia luomaan ja ylläpitämään SBOM-tiedostoja, raportoimaan haavoittuvuuksista ja varmistamaan, että komponenteissa ei ole tunnettuja hyödynnettävissä olevia haavoittuvuuksia. DORA (Digital Operational Resilience Act) edellyttää, että talousyhteisöt ylläpitävät kattavia ICT-omaisuusrekistereitä, jotka sisältävät ohjelmistokomponenttivarastot. GDPR:n artikla 32 edellyttää asianmukaisia ​​turvatoimenpiteitä henkilötietojen käsittelyyn – SBOM-järjestelmät auttavat arvioimaan ja varmistamaan henkilötietoja käsittelevien ohjelmistojen turvallisuuden. EU:n tekoälylaki edellyttää ohjelmistokomponenttivarallisuutta riskialttiisiin tekoälyjärjestelmiin. ISO 27001 liitteen A ohjaus A.8.8 edellyttää teknisten haavoittuvuuksien hallintaa – SBOM:t ovat perusta. US Executive Order 14028 velvoittaa SBOM:t kaikille Yhdysvaltain hallitukselle myydyille ohjelmistoille.