Перелік матеріалів програмного забезпечення (SBOM)

Перелік матеріалів програмного забезпечення (SBOM) — це структурований перелік усіх компонентів, бібліотек, залежностей і модулів, які складають програмний продукт. У ньому наведено список кожного компонента з його версією, ліцензією, постачальником і відомими вразливими місцями. SBOM поставляються в стандартних форматах — CycloneDX (стандарт OWASP, кращий для кібербезпеки), SPDX (стандарт ISO/IEC 5962, кращий для відповідності ліцензії) і SWID (ISO/IEC 19770-2). SBOM вимагається Законом ЄС про кібервідбійність, DORA, і все частіше вимагається корпоративними покупцями для належної перевірки кібербезпеки ланцюга постачання.

Сучасні програмні продукти складаються переважно з компонентів з відкритим кодом і сторонніх розробників — часто 80-90% кодової бази. Без SBOM організації не знають, що міститься в їх програмному забезпеченні, що унеможливлює оцінку ризиків кібербезпеки, керування ліцензійними зобов’язаннями або реагування на розкриття вразливостей. Закон ЄС про кібервідбійність (CRA) робить SBOM обов’язковим для будь-якого продукту з цифровими елементами, що продається в ЄС, вимагаючи від виробників підтримувати запаси компонентів і повідомляти про вразливості. DORA вимагає від фінансових установ вести реєстри активів ІКТ, які включають інвентаризацію компонентів програмного забезпечення. Підприємства-покупці все частіше вимагають SBOM як умову закупівель, що робить їх необхідними для доступу до ринку програмного забезпечення B2B.

CycloneDX SBOM — це формат, рекомендований OWASP для відповідності вимогам кібербезпеки — вони включають інвентаризацію компонентів, графіки залежностей, посилання на вразливості (через інтеграцію з базами даних уразливостей) і дані про взаємозв’язки ланцюга постачання. SPDX SBOM — це стандартний формат ISO/IEC 5962, зосереджений на метаданих пакетів програмного забезпечення, інформації про ліцензії та посиланнях на безпеку — бажано для відповідності ліцензії з відкритим кодом і прозорості програмного забезпечення. Звіти про розкриття вразливостей відстежують узгоджену політику розкриття вразливостей, програми винагород за помилки та відомі реєстри вразливостей — це вимагається статтею 13 CRA для зобов’язань виробника щодо безпеки. Реєстри ліцензій з відкритим кодом відстежують ліцензії компонентів (MIT, GPL, Apache тощо) і статус відповідності — це важливо для відповідності розповсюдження програмного забезпечення та управління інтелектуальною власністю.

Файли SBOM у форматі CycloneDX, SPDX або CSV завантажуються в Sustalium. Система витягує інвентаризацію компонентів, зв’язки залежностей, інформацію про ліцензії та посилання на вразливості, зіставляючи їх із відповідними рамками відповідності. Дані компонентів надходять до записів відповідності CRA (зобов’язання щодо звітування про вразливості згідно зі статтею 13), реєстрів DORA ICT (вимог до інвентаризації активів програмного забезпечення) та належної перевірки ланцюга постачання програмного забезпечення GDPR. Інформація про ліцензію підтримує відповідність відкритим вихідним кодом і активи управління IP. Дані про вразливості керують поточними процесами керування вразливістю. Дані SBOM пов’язані з артикулами продукту та керуванням версіями, що дозволяє відстежувати відповідність на рівні продукту у всьому портфоліо програмного забезпечення.

Закон ЄС про кібервідбійність (CRA) є основним нормативним рушієм — він вимагає від виробників продуктів із цифровими елементами створювати та підтримувати SBOM, повідомляти про вразливості та гарантувати, що компоненти не містять відомих уразливостей, які можна використовувати. DORA (Digital Operational Resilience Act) вимагає від фінансових установ вести комплексні реєстри активів ІКТ, які включають інвентаризацію компонентів програмного забезпечення. Стаття 32 GDPR вимагає відповідних заходів безпеки для обробки персональних даних — SBOM допомагають оцінити та перевірити безпеку програмного забезпечення, що обробляє персональні дані. Закон ЄС про штучний інтелект вимагає активів програмних компонентів для систем штучного інтелекту з високим ризиком. Контроль A.8.8 додатку A ISO 27001 вимагає управління технічними вразливими місцями — SBOM є основою. Виконавчий розпорядження США 14028 передбачає SBOM для всього програмного забезпечення, що продається уряду США.