ENISA ha pubblicato delle linee guida tecniche sull’elencazione di tutti i componenti che costituiscono un software (Software Bill of Materials – SBOM).
In tale contesto si evidenzia come i moderni prodotti software integrano migliaia di componenti, ciascuno dei quali può presentare vulnerabilità in grado di compromettere la sicurezza delle applicazioni e dei sistemi. In questo scenario, la SBOM rappresenta uno strumento fondamentale per migliorare la trasparenza e la sicurezza della catena di approvvigionamento digitale.
La SBOM è un registro formale che documenta i componenti software di un prodotto e le relative relazioni nella catena di fornitura. Supporta il monitoraggio proattivo delle vulnerabilità identificando i componenti con potenziali vulnerabilità, consentendo ai team di sicurezza di mettere in correlazione gli inventari dei componenti con le vulnerabilità di sicurezza rese pubbliche e di rispondere ai rischi emergenti.
Tra le funzionalità principali della SBOM figurano:
- trasparenza, attraverso l’identificazione dei componenti di terze parti e open source integrati nel software
- tracciabilità, grazie alla possibilità di collegare i componenti software ai fornitori e agli utilizzatori
- conformità, mediante la disponibilità di registrazioni verificabili a supporto dei requisiti normativi e contrattuali
- sicurezza, attraverso il supporto all’individuazione delle vulnerabilità e alla verifica della provenienza dei componenti software.
Il documento in oggetto fornisce, quindi, indicazioni pratiche per favorire l’adozione della SBOM, con particolare attenzione alle PMI e alle organizzazioni che intendono sviluppare le capacità iniziali necessarie a rafforzare la trasparenza della catena di approvvigionamento del software.
In linea con i principi del documento ENISA Secure by Design and Default Playbook, la guida:
- delinea l’architettura di implementazione della SBOM e i flussi di dati sulla base di un ciclo di vita definito
- presenta un modello indicativo di minacce relative alla SBOM insieme ai rischi specifici
- elenca le misure volte ad affrontare le problematiche di sicurezza nell’ecosistema della SBOM.
