SBOM: o inventário de software que está se tornando requisito de mercado

O que é um SBOM e por que importa

SBOM (Software Bill of Materials) é um inventário formal e estruturado de todos os componentes de um sistema de software: dependências diretas, dependências transitivas, versões exatas, licenças e origem. É a lista de ingredientes do software — e está se tornando tão importante quanto a lista de ingredientes de um alimento processado.

Por que SBOM está se tornando obrigatório

• Executive Order 14028 (EUA) — exige SBOM para software vendido ao governo federal americano
• NIS2 (Europa) — exige gerenciamento de risco de cadeia de suprimentos de software, incluindo rastreabilidade de componentes
• Contratos enterprise — grandes clientes (bancos, seguradoras, governo) estão exigindo SBOM de seus fornecedores de software
• Resposta a incidentes — quando Log4Shell foi descoberto, empresas com SBOM identificaram sistemas afetados em horas. Sem SBOM: semanas.

Formatos de SBOM: CycloneDX vs SPDX

CycloneDX (OWASP) é o formato mais adotado para casos de uso de segurança — inclui informações de vulnerabilidades e integridade de componentes. SPDX (Linux Foundation) é mais orientado a compliance de licenças de software. Para DevSecOps, CycloneDX é a escolha padrão.

Como gerar SBOM no pipeline

Syft (Anchore, open source) gera SBOMs em CycloneDX e SPDX a partir de imagens de container, diretórios de código e artefatos. Integrado ao pipeline de build, gera o SBOM automaticamente como artefato de cada release — disponível para auditoria e para alimentar scanners de vulnerabilidades como Grype.