欧盟网络安全局发布软件物料清单（SBOM）技术指南：提出六阶段生命周期管理与防篡改策略

欧盟网络安全局（ENISA）于2026年10月22日正式发布《软件物料清单（SBOM）技术指南》（ENISA Technical Advisory for Software Bill of Materials），旨在提升软件供应链透明度并协助企业履行欧盟网络韧性法（CRA）下的相关义务。该指南提出了涵盖产生、验证、签署、储存、使用及维护的六阶段生命周期管理流程，并建议将SBOM管理整合至持续集成与持续交付（CI/CD）体系中。

ENISA在指南中特别强调了SBOM的安全风险，采用STRIDE威胁模型分析了身份伪冒、数据篡改、否认、信息泄露、拒绝服务及权限提升六大类威胁。攻击者可能通过冒用合法供应商身份散布遭篡改的SBOM，导致企业误将恶意或受损组件视为可信来源；若缺乏适当访问控制，SBOM中的版本与依赖关系信息也可能外泄，成为攻击者的情报线索。为此，指南建议采用数字签名、身份验证、权限管控及审计记录等措施强化SBOM的完整性。

针对实际落地难题，ENISA引用今年6月的产业调查指出，尽管41%的受访组织希望在每次构建时自动生成SBOM，但仅有26%预期能在产品支持期间实现完全自动更新。这凸显了建立持续更新、验证与版本追踪机制的重要性，以避免清单与实际软件版本脱节。此外，指南还按CycloneDX和SPDX两种格式整理了Syft、cdxgen、Cosign、Trivy等可用的开源工具，供微型及中小型企业参考。

值得注意的是，ENISA明确表示该指南属于非强制性技术建议，不会新增或改变法律义务，也不能视为CRA的正式法律解释，但其提供的具体实作建议对于希望提前布局合规能力的软件厂商具有重要参考价值。