Software bill of materials (SBOM)
Un inventario leggibile dalle macchine di ogni componente software, libreria e versione contenuti in un prodotto, usato per tracciare vulnerabilità e obblighi di licenza.
Il firmware di un dispositivo è assemblato da molte parti: un RTOS, una libreria TLS, uno stack di rete, driver, un parser JSON, SDK dei fornitori. Quando viene pubblicata una CVE per una di queste, la prima domanda è quali prodotti contengano la versione interessata, e senza un SBOM (la distinta base del software) la risposta richiede giorni di archeologia. Formati come SPDX e CycloneDX rendono l’inventario leggibile dalle macchine, così può essere confrontato automaticamente con i database delle vulnerabilità.
I regolatori ormai se lo aspettano. Il Cyber Resilience Act dell’UE e le regole federali statunitensi sugli appalti fanno entrambi riferimento agli SBOM come parte della dimostrazione che un produttore sa gestire le vulnerabilità per tutto il periodo di supporto di un prodotto. Generarlo dal sistema di build, invece che a mano, è l’unico modo perché resti accurato da una release all’altra.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.