ENISA SBOM指南

欧盟网络安全局（ENISA）于2026年10月22日正式发布《软件物料清单（SBOM）技术指南》，旨在协助企业应对欧盟网络韧性法（CRA）带来的合规挑战。该指南提出了涵盖产生、验证、签署、储存、使用及维护的六阶段生命周期管理流程，并建议将SBOM整合至CI/CD管道中。

【背景】虽然CRA要求制造商提供机器可读的SBOM，但ENISA强调此指南属非强制性技术建议，不新增法律义务。指南特别指出SBOM本身存在被篡改或泄露的风险，采用STRIDE模型分析了六大类威胁，并推荐了Syft、Trivy等开源工具链。

数据显示，尽管41%的组织希望自动产生SBOM，但仅26%能实现产品支持期间的完全自动更新，凸显了持续维护的难点。读者需关注的是，SBOM不仅是合规文件，更是漏洞管理和供应链安全的核心资产，其价值取决于能否与现有安全工作流深度集成。