SBOM (Software Bill of Materials)
La SBOM est l'inventaire formel de tous les composants d'un logiciel, dépendances comprises. Le Cyber Resilience Act en fait une exigence réglementaire.
La Software Bill of Materials, ou SBOM, est la nomenclature d'un logiciel : la liste formelle et machine-exploitable de tous ses composants, bibliothèques open source, dépendances transitives, versions précises. Deux formats dominent, SPDX et CycloneDX, et les outils de SCA les génèrent automatiquement. Notre article dédié à la SBOM et la sécurité logicielle déroule son utilité, ses formats et son cadre réglementaire.
Son intérêt éclate lors d'une crise de dépendance : une organisation qui tient ses SBOM répond en une requête à la question de savoir où tourne un composant vulnérable, quand les autres fouillent leurs applications une par une. Le Cyber Resilience Act en fait d'ailleurs une exigence pour les produits numériques vendus dans l'Union européenne : ce qui relevait de la bonne pratique devient une obligation légale, contrôlable par l'autorité de surveillance du marché.