SBOM (Software Bill of Materials) je zoznam všetkých súčastí, z ktorých je softvér zostavený: vlastného kódu, open-source knižníc, komerčných komponentov a ich závislostí, spolu s verziami, pôvodom a licenciami. Názov je odvodený z kusovníka (bill of materials) vo výrobe, kde presne viete, z akých dielov je výrobok zložený.

Moderná aplikácia môže obsahovať stovky priamych aj nepriamych závislostí. Bez SBOM-u je ťažké rýchlo odpovedať na otázku, či je produkt zasiahnutý novo zverejnenou zraniteľnosťou.

Čo SBOM obsahuje

  • názov a verziu každého komponentu,
  • dodávateľa alebo zdroj komponentu,
  • vzťahy medzi komponentmi (čo od čoho závisí),
  • jedinečné identifikátory, podľa ktorých sa komponent dá spárovať s databázami zraniteľností (CVE),
  • často aj licenčné informácie.

Používajú sa ustálené strojovo čitateľné formáty, napríklad SPDX alebo CycloneDX, aby sa SBOM dal automaticky spracovať nástrojmi na vulnerability management.

Prečo je SBOM dôležitý

Keď sa objaví závažná zraniteľnosť v rozšírenej knižnici, organizácie so SBOM-om dokážu v krátkom čase zistiť, ktoré produkty a verzie sú dotknuté. Ostatné musia ručne prehľadávať kód a nasadenia, čo trvá výrazne dlhšie.

Pre výrobcov je SBOM navyše regulačnou povinnosťou. Cyber Resilience Act vyžaduje SBOM v strojovo čitateľnom formáte a jeho uchovávanie minimálne 10 rokov. Súvisí to aj s povinnosťou hlásiť aktívne zneužívané zraniteľnosti, ktorá platí od 11. septembra 2026 – bez prehľadu o komponentoch sa dá ťažko posúdiť, čo hlásiť.

Ako SBOM vytvárať v praxi

  1. Generujte SBOM automaticky pri každom zostavení (build) v CI/CD pipeline, nie ručne.
  2. Verziujte ho spolu s vydaním produktu, aby ste vedeli, čo obsahovala konkrétna verzia u zákazníka.
  3. Pravidelne ho porovnávajte s databázami zraniteľností a výsledky prioritizujte podľa reálneho dopadu.
  4. Určte, kto za SBOM zodpovedá a ako sa jeho výstupy prenášajú do procesu riešenia zraniteľností.

Časté otázky

Musí byť SBOM verejný?

Povinnosť ho zverejňovať sa vo všeobecnosti nevyžaduje, výrobca ho však musí viesť a mať k dispozícii pre orgány dohľadu. Detaily pri konkrétnom produkte odporúčame overiť s odborníkom.

Má zmysel žiadať SBOM od dodávateľa?

Áno. Ako odberateľ tak získate prehľad o komponentoch v softvéri, ktorý prevádzkujete, a rýchlejšie posúdite dopad nových zraniteľností.

PosAm pracuje s týmito požiadavkami aj na vlastných produktoch, ako ukazuje príprava Servio WFMS na CRA. Ak vyvíjate nový systém, pozrite si prístup PosAm k vývoju softvéru na mieru.