Thought Leadership
Fünf Jahre nach der ersten Fassung haben CISA sowie weitere Behörden eine überarbeitete Leitlinie zu den Mindestbestandteilen einer SBOM veröffentlicht.
Die neue Leitlinie „2026 Minimum Elements for a Software Bill of Materials“ ersetzt die 2021 von der US-Behörde NTIA veröffentlichten Mindestanforderungen und berücksichtigt nach Angaben von CISA mehr als 90 Rückmeldungen aus einem öffentlichen Konsultationsverfahren des Vorjahres. Eine SBOM soll dabei als eine Art Zutatenliste für Software dienen und Unternehmen dabei helfen, ein genaues Inventar der eingesetzten Software und ihrer Komponenten aufzubauen. Laut den beteiligten Behörden können Organisationen diese Daten nutzen, um ihre Softwarelieferkette besser zu verstehen und fundiertere Entscheidungen im Risikomanagement zu treffen, etwa beim Umgang mit bekannten oder neu entdeckten Schwachstellen.
Die überarbeitete Fassung behält die Grundprinzipien der Version von 2021 bei, verbessert jedoch die Datenqualität, deckt ein breiteres Spektrum an Anwendungsfällen ab, führt neue Bestandteile ein, entfernt andere und überarbeitet Beschreibungen für mehr Klarheit.
Neue und entfernte Bestandteile
Zu den neu aufgenommenen Elementen zählen unter anderem der verwendete Hash-Algorithmus und Hash-Wert einer Komponente, deren Lizenz, eine Autorensignatur, Name und Version des Datenformats, der Erstellungskontext sowie Name und Version des verwendeten Tools und die SBOM-Version selbst. Entfernt wurden dagegen lediglich zwei Elemente, nämlich Zugriffskontrolle und Software Identification Tags. Mehrere weitere Elemente wurden ersetzt, überarbeitet oder für eine bessere Datenzuordnung angepasst, etwa der Komponentenname, der künftig mehrere Einträge zulässt.
Laut den Behörden hat sich das Werkzeugumfeld rund um SBOMs seit 2021 deutlich weiterentwickelt, was Organisationen inzwischen erlaube, deutlich detailliertere Informationen über ihre Lieferkette und Softwarekomponenten einzufordern als noch vor fünf Jahren.
Zusätzliche Anforderungen für KI-Systeme
Die aktualisierte Leitlinie gilt grundsätzlich für sämtliche Software, wobei die Behörden einschränken, dass bestimmte Softwarearten wie KI-Systeme oder Software-as-a-Service zusätzliche Bestandteile erfordern können. Bereits im Mai hatten Regierungsbehörden der G7-Staaten eine eigene SBOM-Leitlinie speziell für KI-Systeme veröffentlicht.
(red)
