בעמוד הזה
מה זה SBOM?
SBOM (Software Bill of Materials) עושה לתוכנה מה שרשימת רכיבים עושה למוצר פיזי: מפרטת כל ספרייה ורכיב, את הגרסה שלהם ומאיפה הגיעו. מוצר תוכנה טיפוסי בנוי ברובו מרכיבי קוד פתוח, ולכן בלי רשימה כזו קשה לדעת על מה הוא נשען בפועל.
הרגולציה דוחפת לזה: מאז 11 בספטמבר 2026 ה-CRA האירופי מחייב יצרנים של מוצרים דיגיטליים לדווח על חולשות שמנוצלות בפועל, עם התרעה מוקדמת תוך 24 שעות. חובת ה-SBOM עצמה חלה מדצמבר 2027. ה-FDA כבר דורש SBOM בהגשות של מכשור רפואי עם רכיבי סייבר.
דוגמה מהשטח
Log4Shell, דצמבר 2021. כשהתגלתה חולשה חמורה בספריית Log4j, ארגונים עם SBOM ידעו תוך שעות אילו מוצרים כוללים את הספרייה הפגיעה ובאיזו גרסה. ארגונים בלי SBOM חיפשו במשך ימים ושבועות, מוצר אחר מוצר. היום, עם חובת דיווח של 24 שעות באירופה, ההבדל הזה הוא ההבדל בין עמידה בחובה להפרה שלה.
הפורמטים המקובלים
| פורמט | מי עומד מאחוריו | דגש |
|---|---|---|
| SPDX | Linux Foundation (תקן ISO/IEC 5962) | רכיבים ורישוי |
| CycloneDX | OWASP (תקן ECMA-424) | אבטחה וניהול חולשות |
רכיבים מרכזיים
איך זה עובד
- יצירה
הפקה אוטומטית של SBOM בתהליך הבנייה של המוצר.
- שמירה
SBOM לכל גרסה שיצאה ללקוחות.
- ניטור
השוואה שוטפת מול חולשות חדשות שמתפרסמות.
- תגובה
תיקון, עדכון לקוחות ודיווח לפי הרגולציה.
שאלות נפוצות
האם SBOM היא חובה?
באיחוד האירופי, לפי ה-CRA, מדצמבר 2027 למוצרים עם רכיבים דיגיטליים. ה-FDA דורש אותה כבר היום במכשור רפואי עם רכיבי סייבר. בישראל אין חובה כללית, אבל לקוחות גדולים מבקשים אותה יותר ויותר.
מה ההבדל בין SBOM לסריקת חולשות?
SBOM היא המלאי: מה יש במוצר. סריקת חולשות בודקת אילו מהרכיבים פגיעים. בלי מלאי מדויק, גם הסריקה הכי טובה מפספסת.
מי צריך SBOM?
כל חברה שמפתחת תוכנה או מכשיר עם תוכנה ומוכרת לאירופה, לארה"ב או ללקוחות מוסדיים, ובמיוחד חברות MedTech.