SBOM
Software Bill of Materials — pełny „spis towarów” wszystkich komponentów i zależności danego oprogramowania; gdy wyjdzie nowa podatność, od razu widać, których produktów dotyczy.
Problem: nowoczesne oprogramowanie składa się z setek zależności zewnętrznych (często zależności zależności, zagnieżdżonych głęboko) i nikt nie trzyma ich w głowie. Gdy w 2021 roku uderzył Log4Shell, organizacje tygodniami ustalały, CZY i GDZIE w ogóle używają podatnej biblioteki Log4j. SBOM to rozwiązuje: maszynowo czytelna lista (w standardowych formatach, takich jak CycloneDX czy SPDX) dokładnie mówi, jakie komponenty i w jakich wersjach wchodzą w skład produktu. Zysk: szybka analiza skutków nowych podatności („które z naszych systemów używają tej biblioteki?”), przejrzystość łańcucha dostaw i kontrola licencji. SBOM generuje się automatycznie w potoku budowania. Wymuszają go też przepisy — amerykański dekret o bezpieczeństwie oprogramowania wymaga go od dostawców. Filar bezpieczeństwa łańcucha dostaw, blisko spokrewniony z SLSA i atakami na łańcuch dostaw.