HBOM
L'equivalente hardware della SBOM: un inventario dei componenti di cui è fatto un dispositivo e della loro provenienza.
I produttori di elettronica tengono distinte base da quando esistono le fabbriche, ma come documenti interni degli acquisti. Una distinta base hardware in senso di sicurezza serve invece a rispondere a domande esterne: quali chip contiene, chi li ha fabbricati, in quale paese e se qualcuno figura in un elenco di sanzioni. Nel settembre 2023 la CISA ha pubblicato un framework HBOM con una tassonomia condivisa di tipi di componenti e attributi.
Il problema è più profondo che per il software. Una SBOM si può generare dal sistema di build; una HBOM dipende dal fatto che ogni anello della catena di fornitura dica la verità, e i chip contraffatti sono identici a quelli veri. Il firmware di quei componenti richiede a sua volta una SBOM, così nella pratica si hanno due elenchi che si rimandano l'uno all'altro.