ENISA: SBOM útmutató
Az Európai Unió Kiberbiztonsági Ügynöksége (ENISA) közzétette 31 oldalas technikai útmutatóját a szoftverellátási lánc átláthatóságának és biztonságának javítására (Software Bill of Materials, SBOM) bevezetéséről. A dokumentum elsősorban a mikro-, kis- és középvállalkozásoknak segít felkészülni az EU kiberrezilienciáról szóló rendeletére.
Az SBOM egy géppel feldolgozható összetevőlista, amely megmutatja, milyen nyílt forráskódú és külső szoftverelemek, könyvtárak és függőségek találhatók egy termékben. Segítségével egy új sérülékenység megjelenésekor gyorsabban azonosíthatók az érintett termékek és verziók.
Az ENISA a CycloneDX és SPDX szabványokat ajánlja, és az SBOM-ok automatikus előállítását javasolja a CI/CD beépítve. A jegyzékeket ellenőrizni, digitálisan aláírni, a megfelelő szoftververzióhoz kapcsolva tárolni és minden lényeges változáskor frissíteni kell.
Az útmutató külön fenyegetésmodellt is tartalmaz. A támadók meghamisíthatják az SBOM-okat, manipulálhatják az összetevőadatokat, vagy a nyilvánosságra került verzióinformációkat célzott támadások előkészítésére használhatják. Ezért hozzáférés-szabályozásra, integritásellenőrzésre és biztonságos megosztásra is szükség van.
A 2026-os ENISA-felmérés szerint a szervezetek 24%-a igényel teljes függőségi mélységű SBOM-ot, de csak 14%-uk kap ilyet. A hiányos vagy ismeretlen összetevőket ezért kifejezetten dokumentálni kell.
Az ENISA hangsúlyozza, hogy az SBOM önmagában nem biztonsági garancia, akkor hasznos, ha folyamatos sérülékenységkezeléssel, frissítéssel és beszállítói kockázatértékeléssel kapcsolódik össze.
