Gå tillbaka

SBOM (Software Bill of Materials)

Sammanfattning

En SBOM (Software Bill of Materials) listar samtliga komponenter, bibliotek och beroenden som en programvara är byggd av, ofta med version, leverantör och hash. Öppna format som SPDX och CycloneDX kopplade till CVE-data gör att frågan om en sårbar komponent finns i miljön kan besvaras snabbt. Cyber Resilience Act och NIS2 driver kraven, men värdet uppstår i användningen.



Vad är SBOM?

SBOM (Software Bill of Materials) är en strukturerad innehållsförteckning över alla komponenter, bibliotek och beroenden som ingår i en programvara. SBOM:en gör det möjligt att snabbt svara på frågan "har vi den här sårbara komponenten i vår miljö?" och är en grundpelare i modern leveranskedjesäkerhet.

Format och innehåll

Det finns två etablerade öppna SBOM-format:

  • SPDX: En ISO-standard som utvecklas av Linux Foundation.
  • CycloneDX: Ett OWASP-format som är vanligt i säkerhetsverktyg och fokuserar på sårbarhetshantering.

En komplett SBOM innehåller bland annat komponentnamn, version, leverantör, hash och kända beroenden – ofta med koppling till CVE-databaser för automatisk sårbarhetsanalys.

SBOM och regelverk

Krav på SBOM finns i flera regelverk och initiativ. EU:s Cyber Resilience Act (CRA) kommer att kräva SBOM för produkter med digitala element. NIS2 ställer indirekta krav genom kraven på leveranskedjesäkerhet, och amerikanska federala upphandlingar har sedan 2022 krävt SBOM från leverantörer.

SBOM:er genereras vanligen automatiskt i bygg-pipelinen via verktyg som Syft, Trivy, GitHub Dependency Graph eller leverantörens egna build-system. Värdet ligger inte i själva filen utan i hur den integreras med säkerhetsarbetet – exempelvis för att larma när en ny sårbarhet i en beroende komponent upptäcks.