Hva er en SBOM?

Hva står SBOM for?

SBOM står for software bill of materials. Begrepet kommer fra produksjonsindustrien, der en stykkliste viser delene som går inn i et produkt. CISA beskriver en SBOM som en nestet oversikt, en liste over ingrediensene som utgjør programvarekomponenter.

Mesteparten av koden i en moderne applikasjon er skrevet av noen andre, og det meste av den kommer indirekte: Du legger til én pakke, og den tar med seg dusinvis av transitive avhengigheter. En SBOM skriver ned alt sammen, så du kan svare på «er vi berørt?» uten å lese et eneste repositorium.

Hva inneholder en SBOM?

En nyttig SBOM har to deler: data om selve SBOM-en og data om hver komponent. 2026 Minimum Elements, publisert av CISA, NSA og FBI sammen med internasjonale partnere 29. juli 2026, erstatter NTIA-listen fra 2021 og setter grunnlinjen de fleste kjøpere nå viser til.

Del	Felt
Om SBOM-en	Forfatter og forfatterens signatur, tidsstempel, navn og versjon på dataformatet, navn og versjon på verktøyet, SBOM-versjon og genereringskontekst
Om hver komponent	Navn, versjon, produsent, identifikatorer som en package URL, hashverdi og algoritme, lisens og avhengighetsforhold

Genereringskonteksten betyr mer enn det ser ut til. Den forteller når SBOM-en ble laget: før bygget, under bygget, fra den ferdige artefakten eller etter den. To SBOM-er av samme utgivelse kan være forskjellige av nettopp den grunnen. Se SBOM-eksempler for hvordan disse feltene ser ut i en ekte fil.

SBOM-formater

To formater dekker nesten alle SBOM-er som er i bruk. CycloneDX, fra OWASP, begynte innen sikkerhet og beskriver også sårbarheter og tjenester. SPDX, fra Linux Foundation, begynte innen lisensetterlevelse. Begge kan inneholde minimumselementene, og de fleste verktøy skriver begge. Se CycloneDX vs SPDX for hvordan du velger.

Hvorfor SBOM-er er viktige

• Raskere hendelseshåndtering. Når en sårbarhet som Log4Shell dukker opp, er spørsmålet hvilke av produktene dine som inneholder den. Med SBOM-er er det et søk. Uten dem er det et prosjekt.
• Sårbarhetsovervåking etter utgivelse. Programvare som var ren da den ble levert, kan være sårbar i morgen. Når du sjekker lagrede SBOM-er på nytt mot nye advisories, fanger du det opp uten å bygge noe på nytt.
• Lisensrisiko. Den deklarerte lisensen til hver komponent viser copyleft eller kommersielle vilkår før de når produktet.
• Spørsmål fra kunder og myndigheter. Kjøpere ber stadig oftere om en SBOM ved innkjøp, og flere rammeverk forventer en oversikt over komponentene.

Hvem trenger en SBOM?

Alle som leverer programvare, og alle som må stå til ansvar for hva som er i den. Kravet kommer vanligvis gjennom ett av disse:

• Medisinsk utstyr. FDA section 524B krever en SBOM for cyberenheter i søknader før markedsføring.
• Produkter som selges i EU. Cyber Resilience Act krever en SBOM av produsenter. Se SBOM-krav og verktøy for CRA.
• Amerikanske føderale innkjøp. OMB-notatet M-26-05 fra januar 2026 lar hvert byrå bestemme om det skal kreve en, så regn med at det varierer fra sak til sak.
• Betalingsprogramvare. Krav 6.3.2 i PCI DSS 4.0 ber om en oversikt over spesialutviklet programvare og tredjepartskomponentene i den. Det foreskriver ikke en SBOM, men en SBOM dekker behovet.

Slik genererer du en SBOM

Det finnes tre måter å lage en på, og metoden avgjør hva som havner i filen.

Metode	Hva den leser	Typisk mangel
Skanne kildekoden	Manifester og lockfiler i repositoriet	Alt bygget henter som ingen lockfile viser
Skanne resultatet	Et ferdig container-image eller en binærfil	Kompilert kode er tvetydig, og byggeverktøy etterlater ingen spor
Registrere bygget	Det bygget faktisk hentet mens det kjørte	Trafikk som går utenom registreringen, og som bør flagges

Generatorer med åpen kildekode, som Syft, Trivy og cdxgen, bruker de to første metodene. De er uenige med hverandre om samme commit, fordi hver av dem har sine egne regler for hva som skal leses. Du finner alternativene side om side i de beste SBOM-verktøyene.

SBOM vs SCA vs VEX

• En SBOM er en oversikt. Den sier hva som finnes der, ikke om det er trygt.
• Software composition analysis er analysen. Den finner komponenter og sjekker dem for risiko, og mange SCA-verktøy produserer en SBOM underveis.
• VEX er en erklæring om konsekvenser. Den sier om en kjent sårbarhet faktisk berører produktet ditt, noe som kutter støyen en SBOM alene skaper.

Å generere en SBOM er den enkle delen

En fil ingen leser, endrer ingenting. Verdien kommer av å beholde én SBOM per utgivelse, overvåke dem og kunne finne dem når det gjelder. Det arbeidet er SBOM-styring, og beste praksis for SBOM viser hvordan du gjør det.

Slik lager CRACI SBOM-er

CRACI er en GitHub Actions-runner som registrerer hver pakke hver jobb henter, på alle nivåer i treet og inkludert pakker gjenopprettet fra CI-cacher. Resultatet er en SBOM av bygget som produserte utgivelsen, med en fullstendighetsstatus som sier hva jobben ikke kunne se. Den eksporteres som CycloneDX eller SPDX, og CRACI fortsetter å vurdere den på nytt etter hvert som nye sårbarheter publiseres. Se SBOM-generering under bygget.

SBOM: ofte stilte spørsmål

Hva er en SBOM, enkelt forklart?

En SBOM er en ingrediensliste for programvare. Den navngir hver komponent i et produkt, med versjon, produsent og lisens, i et format maskiner kan lese.

Hva står SBOM for?

SBOM står for software bill of materials.

Hvorfor trenger du en SBOM?

For raskt å kunne se om en nylig publisert sårbarhet berører det du leverer, se lisensrisiko før utgivelse og svare kunder og myndigheter som spør hva som er i produktet ditt.

Hva er de to viktigste SBOM-formatene?

CycloneDX og SPDX. CycloneDX kommer fra OWASP og begynte innen sikkerhet. SPDX kommer fra Linux Foundation og begynte innen lisensetterlevelse. Begge kan inneholde minimumselementene.

Er en SBOM lovpålagt?

Det avhenger av produktet og markedet. FDA section 524B krever en for cyberenheter, og EUs Cyber Resilience Act krever en av produsenter. I amerikanske føderale innkjøp er det nå opp til hvert byrå. For mange andre selskaper er det et krav fra kunder snarere enn et lovkrav.

Hvor ofte bør en SBOM oppdateres?

Generer en ny SBOM for hver utgivelse, fordi hvert bygg kan hente inn andre versjoner. SBOM-en til en utgivelse endres ikke etterpå, men du bør fortsette å sjekke den mot nye sårbarheter.

Hvem lager SBOM-en?

Vanligvis teamet som bygger programvaren, helst i CI, slik at hver utgivelse automatisk får en. Programvare du kjøper, bør komme med en SBOM fra leverandøren.