Прозрачность в цепочке поставок программного обеспечения — раскрытие информации о компонентах программного обеспечения, их связях, происхождении и методах разработки для управления рисками, обнаружения уязвимостей и контроля соответствия требованиям на протяжении всего жизненного цикла ПО. Прозрачность позволяет разработчикам, поставщикам, клиентам, государственным учреждениям получить представление о составе и происхождении программных продуктов для оценки их надёжности и безопасности.
Прозрачность цепочки поставок программного обеспечения охватывает компоненты с открытым исходным кодом и сторонние компоненты, проприетарный код, системы сборки и механизмы распространения. Она включает отслеживание компонентов и метаданных (например, с помощью спецификаций ПО), включая версии, происхождение, методы разработки и обеспечения безопасности.
История Технические форматы для документирования компонентов программного обеспечения — SPDX (опубликован в 2011 г.) и CycloneDX (опубликован в 2017 г.) — существовали до концепции прозрачности цепочки поставок программного обеспечения. Их создали для соблюдения лицензионных соглашений и поддержки совместимости инструментов, а их постепенное развитие привело к формированию концепции, включавшей документирование компонентов, практику раскрытия информации, управление рисками и соблюдение законодательства.
2018 — NTIA США запускает многосторонний процесс по обеспечению прозрачности программных компонентов. 12 мая 2021 г. — Исполнительный указ президента США Джо Байдена № 14028 об улучшении кибербезопасности страны от 12 мая 2021 г. требует от федеральных агентств повышения прозрачности цепочки поставок, включая требования SBOM. 12 июля 2021 г. — NTIA публикует «Минимальные элементы спецификации программного обеспечения (SBOM)». 2021—2025 — CISA обновляет концепцию прозрачности описания программных компонентов, расширяя метаданные SBOM и предоставляя оперативные рекомендации. 3 сентября 2025 г. — METI, японское NCO совместно с 15 странами опубликовали «Общее видение SBOM для кибербезопасности». 2025 — Закон ЕС о киберустойчивости требует от производителей создавать, поддерживать и хранить спецификации материалов (SBOM) для программного обеспечения, продаваемого в ЕС.
Спецификация программного обеспечения (SBOM) Спецификация программного обеспечения (SBOM) — структурированный список компонентов, библиотек и инструментов для создания и распространения программного продукта. В цепочках поставок программного обеспечения SBOM документирует все компоненты, с открытым исходным кодом и проприетарные. SBOM поддерживают проверку версий компонентов, позволяя проводить анализ лицензий и уязвимостей, оперативно реагируя на последние и обеспечивая управление рисками.
В соответствии с Указом Президента № 14028 федеральные агентства США требуют от поставщиков программного обеспечения предоставлять спецификации материалов для программного обеспечения, закупаемого правительством. Список минимально необходимых элементов SBOM, определенный NTIA, включает три основные категории: обязательные поля данных для описания каждого компонента (имя, версия, идентификаторы), поддержка автоматизации (машинно-читаемый формат, инструменты генерации) и рекомендации по созданию SBOM во время разработки и закупки.
В России SBOM также становится элементом процесса сертификации: согласно приказу ФСТЭК от 11.04.2025 № 117 с 1 марта 2026 г. вступают в силу новые требования по защите информации в государственных информационных системах, которые включают учёт поставщиками средств защиты информации всех используемых компонентов (SBOM), включая заимствованные программные компоненты с открытым исходным кодом. SBOM формируется по утверждённым стандартам, информация из спецификации используется для анализа уязвимостей компонентов инструментами Software Composition Analysis (SCA), для автоматизации работы могут применять специальные инструменты, например, генераторы спецификаций или решения для анализа состава ПО.
Принятие SBOM, созданные на основе политик в открытом исходном коде: 0,56 % популярных репозиториев GitHub содержат SBOM, созданные в соответствии с формальными политиками безопасности или соответствия. SBOM в проектах: Менее 50 % изученных программных проектов включают SBOM в релизы или системы контроля версий, причем многие SBOM являются неполными или не соответствуют стандартам. Внедрение на предприятиях: 60-76 % предприятий требуют от поставщиков спецификации материалов или интегрируют их в управление рисками закупок. Продукты для обеспечения информационной безопасности: TRACS 2025 определяет доступность SBOM параметром оценки программного обеспечения кибербезопасности. В настоящее время лишь немногие корпоративные продукты предоставляют общедоступные SBOM.
Примечания
Категория:Компьютерная безопасность Категория:Безопасность данных Категория:Управление рисками в IT