SBOM
Software Bill of Materials（ソフトウェア部品表）。ソフトウェアに含まれる全コンポーネントと依存関係の完全な一覧。ライブラリに新しい脆弱性が見つかったとき、どの製品が影響を受けるか即座に調べられる。Log4Shellで優先課題になった。
現代のソフトウェアは何百ものサードパーティ依存（しかも依存の依存が深く入れ子）で作られており、全体を頭に入れている人はいない。2021年にLog4Shellが起きたとき、多くの組織は脆弱なLog4jを使っているか、どこで使っているかを調べるだけで数週間を費やした。SBOMはこれを解決する。CycloneDXやSPDXといった標準形式で、含まれるコンポーネントとバージョンを機械可読な形で列挙する。利点は、新たな脆弱性に対する迅速な影響範囲の分析、サプライチェーンの透明性、ライセンス・コンプライアンスの管理だ。ビルドパイプラインで自動生成する。米国のソフトウェアセキュリティに関する大統領令がベンダーにSBOMを求めるなど、規制も後押ししている。サプライチェーンセキュリティの要であり、SLSAやサプライチェーン攻撃と関係が深い。