Nomenclature logicielle (SBOM)

Une nomenclature logicielle (SBOM) est un inventaire structuré de tous les composants, bibliothèques, dépendances et modules qui composent un produit logiciel. Il répertorie chaque composant avec sa version, sa licence, son fournisseur et ses vulnérabilités connues. Les SBOM sont disponibles dans des formats standard : CycloneDX (norme OWASP, préférée pour la cybersécurité), SPDX (norme ISO/IEC 5962, préférée pour la conformité des licences) et SWID (ISO/IEC 19770-2). Les SBOM sont exigés par la loi européenne sur la cyber-résilience, DORA, et de plus en plus exigés par les acheteurs d'entreprises pour la diligence raisonnable en matière de cybersécurité de la chaîne d'approvisionnement.

Les produits logiciels modernes sont principalement composés de composants open source et tiers, qui représentent souvent 80 à 90 % de la base de code. Sans SBOM, les organisations ne savent pas ce que contiennent leurs logiciels, ce qui rend impossible l'évaluation des risques de cybersécurité, la gestion des obligations de licence ou la réponse aux divulgations de vulnérabilités. La loi européenne sur la cyber-résilience (CRA) rend les SBOM obligatoires pour tout produit contenant des éléments numériques vendu dans l'UE, obligeant les fabricants à maintenir des inventaires de composants et à signaler les vulnérabilités. DORA exige que les entités financières tiennent des registres d'actifs TIC comprenant des inventaires de composants logiciels. Les acheteurs d'entreprise exigent de plus en plus les SBOM comme condition d'achat, ce qui les rend essentielles pour accéder au marché des logiciels B2B.

Les SBOM CycloneDX sont le format recommandé par l'OWASP pour la conformité en matière de cybersécurité : ils comprennent des inventaires de composants, des graphiques de dépendances, des références de vulnérabilité (via l'intégration avec des bases de données de vulnérabilités) et des données sur les relations avec la chaîne d'approvisionnement. Les SBOM SPDX sont le format standard ISO/IEC 5962 axé sur les métadonnées des progiciels, les informations de licence et les références de sécurité – préféré pour la conformité des licences open source et la transparence des logiciels. Les rapports de divulgation de vulnérabilités suivent les politiques coordonnées de divulgation de vulnérabilités, les programmes de bug bounty et les registres de vulnérabilités connues – requis par l'article 13 de l'ARC pour les obligations de sécurité des fabricants. Les registres de licences open source suivent les licences des composants (MIT, GPL, Apache, etc.) et leur état de conformité, ce qui est essentiel pour la conformité de la distribution de logiciels et la gouvernance IP.

Les fichiers SBOM au format CycloneDX, SPDX ou CSV sont téléchargés sur Sustalium. Le système extrait les inventaires de composants, les relations de dépendance, les informations de licence et les références de vulnérabilité, en les mappant aux cadres de conformité pertinents. Les données des composants alimentent les dossiers de conformité de l'ARC (obligations de déclaration des vulnérabilités de l'article 13), les registres DORA ICT (exigences en matière d'inventaire des actifs logiciels) et la diligence raisonnable de la chaîne d'approvisionnement logicielle du RGPD. Les informations sur les licences prennent en charge la conformité open source et les actifs de gouvernance IP. Les données sur les vulnérabilités orientent les processus continus de gestion des vulnérabilités. Les données SBOM sont liées aux SKU des produits et à la gestion des versions, permettant un suivi de la conformité au niveau des produits dans l'ensemble du portefeuille de logiciels.

La loi européenne sur la cyber-résilience (CRA) est le principal moteur réglementaire : elle oblige les fabricants de produits comportant des éléments numériques à créer et à maintenir des SBOM, à signaler les vulnérabilités et à garantir que les composants sont exempts de vulnérabilités exploitables connues. DORA (Digital Operational Resilience Act) oblige les entités financières à tenir des registres complets d’actifs TIC comprenant des inventaires de composants logiciels. L'article 32 du RGPD exige des mesures de sécurité appropriées pour le traitement des données personnelles – les SBOM aident à évaluer et à vérifier la sécurité des logiciels traitant des données personnelles. La loi européenne sur l’IA exige des actifs de composants logiciels pour les systèmes d’IA à haut risque. Le contrôle A.8.8 de l'Annexe A ISO 27001 nécessite une gestion des vulnérabilités techniques — les SBOM en sont la base. Le décret américain 14028 impose des SBOM pour tous les logiciels vendus au gouvernement américain.