Grunderna om SBOM
Vad en SBOM är, vad den innehåller och vilka typer och format som finns.
- Vad är SBOM?
En SBOM (Software Bill of Materials) är en maskinläsbar förteckning över de komponenter som en mjukvara består av. Den används för sårbarhetshantering, licenskontroll och regelefterlevnad, och blir ett lagkrav i EU genom CRA.
- Varför behöver vi SBOM?
Sårbarheter som Log4Shell och Heartbleed visade hur svårt det är att svara på frågan om man är drabbad när man inte vet vilka komponenter mjukvaran innehåller. Det är den frågan en SBOM besvarar.
- Varför är SBOM viktigt för industrin?
En produkt innehåller egen kod, öppen källkod och komponenter från leverantörer. SBOM ger tillverkare, kunder och myndigheter ett gemensamt format för att beskriva innehållet.
- Vad finns i en SBOM?
En SBOM innehåller uppgifter om varje komponent, som namn, version, leverantör, identifierare, licens och kontrollsumma, samt hur komponenterna beror på varandra och vem som skapade SBOM:en.
- Vad är Minimum Elements?
SBOM Minimum Elements från amerikanska NTIA anger vilka datafält, vilket stöd för automatisering och vilka arbetssätt en SBOM minst ska uppfylla. CISA publicerade ett utkast till uppdatering 2025.
- Olika typer av SBOM:ar
En SBOM kan skapas från en design, från källkod, i bygget, från en färdig artefakt eller från ett system i drift. CISA har definierat sex typer, och de ger olika svar på vad mjukvaran innehåller.
- SBOM-format och standarder
CycloneDX och SPDX är de två standardformaten för SBOM. Båda är öppna, maskinläsbara och har stöd i de flesta verktyg. Här är bakgrunden, skillnaderna och vad som avgör valet.
- SBOM och SCA, vad är skillnaden?
SCA (Software Composition Analysis) är verktyg som analyserar vilka tredjepartskomponenter en mjukvara innehåller. En SBOM är resultatet i ett standardformat som kan sparas och delas.
- Andra attesteringar än SBOM: SLSA
SLSA (Supply chain Levels for Software Artifacts) är ett ramverk för att intyga var, hur och av vem en mjukvara har byggts. Det kompletterar SBOM, som beskriver innehållet.
- Vanliga frågor om SBOM
Vad är en SBOM, är den ett lagkrav, vilket format ska man välja och hur ofta ska den uppdateras? Korta svar på vanliga frågor om SBOM.