深度解读 | 关于 SBOM 最基础元素，你需要知道的（Part II）

“企业和组织应该将重点放到 SBOM 使用机制的实践和流程上，并且将其集成到安全开发生命周期的日常活动中。”

文章关键词：SBOM；SBOM 最基础元素；数据字段；自动化支持；最佳实践和流程

前文我们围绕“什么是软件基础设施透明度”、“为什么制定最基础 SBOM”、“最基础 SBOM 对各方优势”、“最基础 SBOM 涉及范围”等多个方面，对美国商务部与国家电信和信息管理局（NTIA）发布的 SBOM 最基础元素指南给大家做了一个初步的介绍。

在接下来的文章中，我们会详细为大家介绍 SBOM 最基础元素涉及的三个方面：数据字段、自动化支持与最佳实践和流程。前文提到：“我们对数字基础设施的信任度与基础设施的可信度和透明度成正比。”这些最基础元素代表着本指导意见对于企业和组织对于提升软件供应链安全的最基本要求。后续企业和组织可以针对自身情况在此基础上增加信息来提升软件供应链安全的透明度。

软件的“树状结构”

软件与组件的关系可以用树形结构来表示，软件是由不同的组件组成，而组件也是由很多子组件组成。

图 1.软件组件间的树状结构示意

组件的来源通常是第三方，但也可以是“甲方”，比如说来自同一供应商但能够被唯一识别，作为一个独立的、可跟踪的单元。每一个组件都应该拥有其 SBOM 表来构建这个树形结构。从工具和统