SBOM (nomenclature logicielle)
SBOM · Software Bill of Materials · nomenclature logicielle · inventaire des composants · CycloneDX · SPDX
Liste détaillée et lisible par machine de tous les composants d’un logiciel (bibliothèques, versions, fournisseurs, licences), comparable à la liste des ingrédients d’un produit alimentaire.
En pratique
Deux formats dominent : CycloneDX, projet de l’OWASP normalisé par Ecma International (ECMA-424), et SPDX, porté par la Linux Foundation et publié comme norme ISO/IEC 5962:2021. Généré automatiquement à la compilation, le SBOM permet de répondre en quelques minutes, plutôt qu’en semaines, à la question « sommes-nous concernés par cette nouvelle faille ? ». Le Cyber Resilience Act oblige les fabricants à en établir un, couvrant au minimum les dépendances de premier niveau, dans un format courant et lisible par machine (annexe I) ; il n’a pas à être publié, mais doit être fourni aux autorités de surveillance du marché sur demande motivée.
Cas fictif inspiré de Log4Shell (CVE-2021-44228, décembre 2021) : l’éditeur A interroge ses SBOM et sait en vingt minutes que trois de ses produits embarquent la bibliothèque vulnérable ; l’éditeur B, sans inventaire, passe deux semaines à fouiller ses dépôts.
Comment s’en protéger
- Générer le SBOM automatiquement à chaque version, dans la chaîne CI/CD.
- Le croiser en continu avec les nouvelles CVE.
- Exiger un SBOM de vos fournisseurs de logiciels.
