Page 51 - 清流雙月刊 NO.51

CI 學堂

美國政府於 2023 年 11 月公布「保護軟體供應鏈：軟體物料清單的實踐建議」，協助使用者完成軟
體之採購、測試、資安部署和軟體修補的建議流程，SBOM 具有即時更新組件內容與呈現完整資訊
的效果，對降低攻擊風險有益。（Source: U.S. D.O.D, https://media.defense.gov/2023/Nov/09/2003338086/-1/-
1/0/SECURING%20THE%20SOFTWARE%20SUPPLY%20CHAIN%20RECOMMENDED%20PRACTICES%20FOR%20
SOFTWARE%20BILL%20OF%20MATERIALS%20CONSUMPTION.PDF）

軟體物料清單（SBOM） 求，協助使用者完成軟體之採購、測試、

資安部署和軟體修補的建議流程，並開發
軟體物料清單類似於軟體的「成分清
SBOM 內容，以促進軟體資訊公開與漏洞
單」，包含該軟體所有的基礎組件（com-
即時修補。 7
ponent），都必須遵循既定的、機器可

讀取的模式記錄，以標準化形式呈現其資 美國政府藉由 EO-14028 法案，對聯邦
訊。CISA、國家安 全局（National Secu- 政府與企業界提高資安水準要求，並透過

rity Agency, NSA）和國家情報總監辦公室 SBOM 機制協助管理，讓使用者可對新出

（Office of the Director of National Intel- 現的資安威脅快速反應，無須被動等待軟
ligence, ODNI）組成一個跨部門、公私合 體商通知。另因 SBOM 具有即時更新軟體
作的安全框架工作小組，並在 2023 年 11 組件內容與呈現完整資訊的效果，對於降

月 9 日公布「保護軟體供應鏈：軟體物料 低零日漏洞攻擊風險，以及確保軟體符合
清單的實踐建議」，以因應 EO-14028 對 智慧財產權規範等皆有助益，因此成為現

聯邦政府應提高軟體供應鏈安全性之要 今軟體安全和供應鏈風險管理的關鍵因素。

7 CISA, “CISA, NSA, and Partners Release New Guidance on Securing the Software Supply Chain”, November, 9, 2023, https://www.cisa.gov/
news-events/alerts/2023/11/09/cisa-nsa-and-partners-release-new-guidance-securing-software-supply-chain.

No.51 MAY. 2024 49