歐盟ENISA發布SBOM技術指南 提出六階段生命週期管理與安全建議

歐盟網路安全局（ENISA）於10月22日正式發布《ENISA Technical Advisory for Software Bill of Materials》技術指南。指南針對軟體物料清單（SBOM）建立六階段生命週期管理，建議將其整合至CI/CD流程，協助企業應對歐盟網路韌性法（CRA）對軟體供應鏈透明度的要求。ENISA指出，此指南為非強制性技術建議，不具CRA正式法律解釋效力。

值得帶走的重點

• ENISA依據產業調查將SBOM流程分為產生、驗證、簽署、儲存、使用與維護六階段，並依CycloneDX及SPDX格式整理Syft、Cosign等開源輔助工具。
• 指南採用STRIDE模型評估SBOM安全風險，警告冒名散布或竄改清單可能引致惡意元件採用，建議導入數位簽章、身分驗證與版本控制以確保完整性。