Programinės įrangos medžiagų sąrašas (SBOM)

Programinės įrangos medžiagų sąrašas (SBOM) yra struktūrinis visų komponentų, bibliotekų, priklausomybių ir modulių, sudarančių programinės įrangos produktą, inventorius. Jame pateikiamas kiekvieno komponento sąrašas, jo versija, licencija, tiekėjas ir žinomi pažeidžiamumai. SBOM yra standartinių formatų – CycloneDX (OWASP standartas, pirmenybė teikiama kibernetiniam saugumui), SPDX (standartas ISO/IEC 5962, pageidautina, kad būtų laikomasi licencijos) ir SWID (ISO/IEC 19770-2). SBOM reikalaujama pagal ES kibernetinio atsparumo įstatymą (DORA), o įmonių pirkėjai vis dažniau reikalauja tiekimo grandinės kibernetinio saugumo patikrinimo.

Šiuolaikinius programinės įrangos produktus daugiausia sudaro atvirojo kodo ir trečiųjų šalių komponentai – dažnai 80–90 % kodų bazės. Be SBOM organizacijos nežino, kas yra jų programinėje įrangoje, todėl neįmanoma įvertinti kibernetinio saugumo rizikos, valdyti licencijų įsipareigojimų ar reaguoti į pažeidžiamumo atskleidimą. Pagal ES kibernetinio atsparumo aktą (CRA) SBOM yra privalomas visiems ES parduodamiems gaminiams su skaitmeniniais elementais – reikalaujama, kad gamintojai tvarkytų komponentų atsargas ir praneštų apie pažeidžiamumą. DORA reikalauja, kad finansiniai subjektai tvarkytų IRT turto registrus, kuriuose būtų programinės įrangos komponentų atsargos. Įmonių pirkėjai vis dažniau reikalauja SBOM kaip pirkimo sąlygos, todėl jie yra būtini norint patekti į B2B programinės įrangos rinką.

CycloneDX SBOM yra OWASP rekomenduojamas kibernetinio saugumo atitikties formatas – jie apima komponentų inventorius, priklausomybės grafikus, pažeidžiamumo nuorodas (integruojant su pažeidžiamumo duomenų bazėmis) ir tiekimo grandinės ryšių duomenis. SPDX SBOM yra ISO/IEC 5962 standarto formatas, orientuotas į programinės įrangos paketo metaduomenis, licencijos informaciją ir saugos nuorodas – pirmenybė teikiama atvirojo kodo licencijų laikymuisi ir programinės įrangos skaidrumui užtikrinti. Pažeidžiamumo atskleidimo ataskaitose stebima suderinta pažeidžiamumo atskleidimo politika, klaidų mažinimo programos ir žinomi pažeidžiamumo registrai, kurių reikalaujama pagal KRA 13 straipsnį dėl gamintojo saugumo įsipareigojimų. Atvirojo kodo licencijų registrai stebi komponentų licencijas (MIT, GPL, Apache ir kt.) ir atitikties būseną – būtina programinės įrangos platinimo atitikčiai ir IP valdymui.

SBOM failai CycloneDX, SPDX arba CSV formatu įkeliami į Sustalium. Sistema išskiria komponentų atsargas, priklausomybės ryšius, licencijų informaciją ir pažeidžiamumo nuorodas – susieja juos su atitinkamomis atitikties sistemomis. Komponentų duomenys pateikiami į CRA atitikties įrašus (13 straipsnio pažeidžiamumo ataskaitų teikimo įpareigojimai), DORA ICT registrus (programinės įrangos inventoriaus reikalavimai) ir BDAR programinės įrangos tiekimo grandinės išsamų patikrinimą. Informacija apie licenciją palaiko atvirojo kodo atitiktį ir IP valdymo išteklius. Pažeidžiamumo duomenys skatina nuolatinius pažeidžiamumo valdymo procesus. SBOM duomenys yra susieti su produkto SKU ir versijų valdymu, todėl visame programinės įrangos portfelyje galima stebėti produkto lygio atitiktį.

ES kibernetinio atsparumo aktas (CRA) yra pagrindinis reguliavimo veiksnys – pagal jį reikalaujama, kad gaminių su skaitmeniniais elementais gamintojai sukurtų ir prižiūrėtų SBOM, praneštų apie pažeidžiamumą ir užtikrintų, kad komponentuose nebūtų žinomų išnaudojamų pažeidžiamumų. DORA (Skaitmeninio operatyvinio atsparumo įstatymas) reikalauja, kad finansiniai subjektai tvarkytų išsamius IRT turto registrus, kuriuose būtų programinės įrangos komponentų inventorius. BDAR 32 straipsnyje reikalaujama tinkamų asmens duomenų tvarkymo saugumo priemonių – SBOM padeda įvertinti ir patikrinti asmens duomenis apdorojančios programinės įrangos saugumą. Pagal ES AI įstatymą reikalaujama, kad didelės rizikos AI sistemų programinės įrangos komponentų turtas. ISO 27001 A priedo valdiklis A.8.8 reikalauja valdyti techninius pažeidžiamumus – SBOM yra pagrindas. JAV vykdomasis įsakymas 14028 įpareigoja SBOM visai JAV vyriausybei parduodamai programinei įrangai.