HBOM

電子機器メーカーは工場ができて以来ずっと部品表を持っていたが、それは社内の調達文書だった。セキュリティの文脈でのハードウェア部品表は、外部からの問いに答えるためのものだ。どのチップが入っているのか、誰がどこの国で作ったのか、制裁対象のリストに載っているものはないか。CISAは2023年9月にHBOMのフレームワークを公表し、部品の種類と属性について共通の分類を示した。

問題はソフトウェアより根が深い。SBOMはビルドシステムから生成できるが、HBOMはサプライチェーンのすべての関係者が正直であることに依存しており、偽造チップは本物と見分けがつかない。しかも部品内のファームウェアには別のSBOMが必要なので、実際には互いを指し合う二つのリストができあがる。