Een SBOM (Software Bill of Materials) is de ingredientenlijst van een stuk software. Het is een gestructureerd, machineleesbaar overzicht van alle onderdelen waaruit een applicatie is opgebouwd: bibliotheken, frameworks, versienummers en licenties. Moderne software wordt namelijk zelden helemaal zelf geschreven; het grootste deel bestaat uit hergebruikte, vaak open-source componenten.
Waarom dat voor het MKB uitmaakt, bleek bij Log4j. Toen daar een ernstig lek in zat, was overal dezelfde vraag: zit dat onderdeel ook in onze systemen? Zonder overzicht kost het beantwoorden van die vraag dagen rondbellen bij leveranciers. Met een SBOM is het een zoekopdracht van een paar minuten, en weet je meteen welke systemen voorrang krijgen bij patchen.
De twee gangbare formaten zijn CycloneDX en SPDX; beide kun je automatisch laten genereren tijdens het bouwen van software. Vraag bij inkoop van maatwerk of bedrijfskritische software of de leverancier per release een SBOM meelevert. De echte winst zit in het koppelen van die lijst aan een kwetsbaarhedendatabase, zodat je automatisch een signaal krijgt als er een CVE bekend wordt voor een component die jij gebruikt.
Wat OkayICT hierin doet: wij houden per klant bij welke software en componenten in gebruik zijn, zodat we bij een nieuw lek binnen een dag weten of jouw omgeving geraakt wordt.
Meer lezen: Wat is een CVE? · Wat is een kwetsbaarheid?
