SBOMtiedostot

SBOM-tiedostot, eli Software Bill of Materials -tiedostot, ovat tiedostoja, joissa kuvataan ohjelmiston käytössä olevat komponentit ja niihin liittyvät tiedot. Niiden tarkoituksena on parantaa ohjelmiston toimittajaketjun läpinäkyvyyttä sekä tukea turvallisuus- ja lisenssiriskien hallintaa. SBOM-tiedostot voivat koskea sekä valmiita ohjelmistoja että niiden komponentteja, kuten open source -kirjastoja ja kolmansien osapuolien ohjelmistoa.

Formaattien osalta yleisimmät ovat SPDX (Software Package Data Exchange) sekä CycloneDX; lisäksi käytetään SWID-tunnisteita ISO/IEC 19770-2 -standardin mukaisesti. Tiedostot voivat olla JSON-, XML- tai RDF-muodossa ja ne sisältävät yleensä komponenttien nimeä, versiota, toimittajaa, lisenssiä, alkuperää sekä mahdolliset hajautukset ja riippuvuussuhteet muihin komponentteihin.

SBOM-tiedostoja tuotetaan ohjelmistokehityksen rakennusvaiheissa sekä erillisillä SBOM-generaattoreilla, ja ne voidaan liittää ohjelmiston jakelupakettiin tai tallentaa ohjelmistovarastoihin. Turvallisuus- ja oikeudelliset tiimit käyttävät niitä kartoittaakseen haavoittuvuuksia, lisenssien noudattamista sekä varmistuakseen siitä, että komponenttien käyttö vastaa annetuita politiikkoja.

Haasteita ovat tiedon kattavuus ja laatutaso, erityisesti dynaamisessa ja transitiivisessa riippuvuuksien kartoituksessa sekä sulautettujen komponenttien tunnistamisessa. Standardoinnin ja yhteensopivuuden kehittäminen auttaa: SPDX ja CycloneDX tarjoavat yleisesti hyväksyttyjä rakenteita, SWID-tunnisteet tukevat ohjelmiston yksilöintiä järjestelmissä. Lainsäädäntö ja viranomaistavoitteet, kuten Yhdysvaltain EO 14028, kannustavat SBOMien käyttöönottoon julkisissa hankkeissa, ja EU:n sektoritkin seuraavat standardien ja käytäntöjen kehittämistä.