Een CBOM (Cryptography Bill of Materials) inventariseert de cryptografische middelen van een organisatie, terwijl een SBOM (Software Bill of Materials) de softwarecomponenten en afhankelijkheden in een applicatie inventariseert. Een CBOM is een op cryptografie gerichte uitbreiding van het SBOM-concept.
Een SBOM (Software-Based Object Map) geeft een overzicht van de softwarepakketten, bibliotheken en afhankelijkheden in een applicatie, zodat teams kwetsbaarheden en licenties kunnen traceren. Een CBOM (Cryptographic-Based Object Map) geeft een overzicht van cryptografische elementen zoals algoritmen, sleutels, certificaten en protocollen, zodat teams zwakke of kwantumkwetsbare cryptografie kunnen vinden. Beide maken gebruik van de CycloneDX-standaard en een CBOM kan worden gegenereerd als onderdeel van een SBOM.
Key Takeaways
- Een SBOM beantwoordt de vraag "Welke software gebruik ik?"; een CBOM beantwoordt de vraag "Welke cryptografie gebruik ik?".
- Een CBOM is een uitbreiding van het SBOM-concept, en beide worden uitgedrukt in CycloneDX (ECMA-424).
- SBOM's worden gedreven door de beveiliging van de softwareleveringsketen; CBOM's worden gedreven door PQC-migratie en cryptografische flexibiliteit.
- Je hebt ze allebei nodig: een SBOM voor componentrisico's en een CBOM voor cryptografische risico's.
- CycloneDX 1.6 (2024) maakt het mogelijk om zowel software als cryptografische inventaris in één stuklijst op te nemen.
CBOM versus SBOM in één oogopslag
| SBOM | CBOM | |
|---|---|---|
| voorraden | Softwarecomponenten en afhankelijkheden | Cryptografische activa |
| antwoorden | Welke software gebruik ik? | Welke cryptografie gebruik ik? |
| Hoofdbestuurder | Beveiliging van de softwareleveringsketen | Post-kwantummigratie en crypto-flexibiliteit |
| Formaat | CycloneDX (ECMA-424) | CycloneDX 1.6 (ECMA-424) |
| Typische inhoud | Pakketten, bibliotheken, versies, licenties | Algoritmen, sleutels, certificaten, protocollen |
Wat is een SBOM?
Een software-bill of materials (SBOM) is een inventaris van de componenten, bibliotheken en afhankelijkheden waaruit een applicatie bestaat. Hiermee kunnen teams bekende kwetsbaarheden traceren, licenties beheren en snel reageren wanneer een fout wordt gevonden in een veelgebruikt pakket. SBOM's werden gangbaar toen overheden en klanten transparantie eisten in de softwareleveringsketen. Zie SBOM en beveiliging van de softwareleveringsketen voor meer informatie.
Wat is een CBOM?
Een cryptografie-lijst (CBOM) is een inventaris van cryptografische middelen: de algoritmen, sleutels, certificaten, bibliotheken en protocollen die een organisatie gebruikt. Het doel ervan is om cryptografie inzichtelijk te maken, zodat deze kan worden geëvalueerd en geüpgraded, met name voor de migratie naar een post-kwantumtijdperk. Voor een volledige uitleg, zie ' Wat is een CBOM?'.
Belangrijkste verschillen
De twee materiaallijsten opereren op verschillende niveaus. Een SBOM (Software-Based Materials) gaat over de software die je compileert; een CBOM (Computer-Based Materials) gaat over de cryptografie waarop die software vertrouwt. Een SBOM kan je bijvoorbeeld vertellen dat een applicatie OpenSSL bevat, terwijl een CBOM je vertelt welke algoritmen en sleutelgroottes die applicatie daadwerkelijk gebruikt en welke certificaten deze presenteert. Ook de drijfveren verschillen: SBOM's gaan over component- en kwetsbaarheidsrisico's, terwijl CBOM's gaan over cryptografische en kwantumrisico's.
Hoe ze elkaar overlappen
CBOM en SBOM delen de CycloneDX-standaard, en versie 1.6 maakt het mogelijk om beide in één bestand op te slaan. Dit betekent dat de tools, distributie en governance die u voor de ene ontwikkelt, ook voor de andere kunnen worden toegepast. Een organisatie met een volwaardig SBOM-programma is goed gepositioneerd om cryptografische inventaris toe te voegen zonder een apart formaat te hoeven gebruiken.
Heb je beide nodig?
Ja. Een SBOM beheert component- en toeleveringsketenrisico's; een CBOM beheert cryptografische en post-kwantumrisico's. Ze dekken verschillende bedreigingen af ​​en geen van beide vervangt de ander. Samen geven ze een completer beeld van waaruit uw software is opgebouwd en hoe deze gegevens beschermt.
Hoe encryptieconsultancy kan helpen
CBOM Secure bouwt uw cryptografische inventaris op in het CycloneDX-formaat, zodat deze naadloos aansluit op uw bestaande SBOM-programma en direct kan worden gebruikt bij de planning van de post-quantummigratie. PQC Advisory van Encryption Consulting zet deze inventaris vervolgens om in een geprioriteerde routekaart, ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.
Veelgestelde Vragen / FAQ
Is een CBOM onderdeel van een SBOM?
Een CBOM kan onderdeel zijn van een SBOM of op zichzelf staan. CycloneDX 1.6 maakt het mogelijk om zowel softwarecomponenten als cryptografische assets in één stuklijst op te nemen, waardoor een CBOM in een SBOM kan worden ingebed. Conceptueel gezien is de CBOM een op cryptografie gerichte uitbreiding van het SBOM-idee, met hetzelfde formaat en dezelfde tools.
Wat komt eerst, SBOM of CBOM?
De meeste organisaties bouwen eerst een SBOM (Software-Based Object Mapping), omdat de eisen van de softwareleveringsketen en het beheer van kwetsbaarheden de adoptie van SBOM's eerder hebben gestimuleerd. De CBOM (Cryptographic-Based Object Mapping) is nieuwer en wordt gedreven door de migratie na de kwantumcrisis. De twee vullen elkaar aan en omdat ze het CycloneDX-formaat delen, biedt een SBOM-programma een basis om cryptografische inventarisatie toe te voegen.
Gebruiken CBOM en SBOM hetzelfde formaat?
Ja. Beide gebruiken CycloneDX, de open standaard voor stuklijsten die is gepubliceerd als ECMA-424. CycloneDX 1.6 voegde native ondersteuning toe voor cryptografische assets, waardoor dezelfde toolchain en hetzelfde bestandsformaat softwarecomponenten, cryptografische assets of beide samen kunnen weergeven. Dit gedeelde formaat is een belangrijke reden waarom de twee naadloos naast elkaar kunnen worden gebruikt.
Waarom is een SBOM niet voldoende voor paraatheid na het kwantumtijdperk?
Een SBOM laat zien welke software en bibliotheken je gebruikt, maar niet welke cryptografische algoritmen, sleutels en certificaten daadwerkelijk in gebruik zijn of hoe ze geconfigureerd zijn. Na een quantummigratie is die cryptografische detailinformatie nodig om algoritmen te vinden die kwetsbaar zijn voor quantumaanvallen. Een CBOM biedt die informatie en gaat dieper dan het componentniveau dat een SBOM biedt.
Wie heeft er een CBOM nodig?
Elke organisatie die gevoelige gegevens met een lange levensduur moet beschermen, zich moet voorbereiden op post-kwantummigratie of controle over haar cryptografie moet aantonen, heeft een CBOM nodig. Dit is vooral belangrijk in gereguleerde sectoren zoals financiën, overheid, gezondheidszorg en kritieke infrastructuur, en voor softwareleveranciers wiens klanten naast een SBOM ook cryptografische transparantie eisen.
Voeg cryptografische inventaris toe aan uw SBOM.
Klaar om de cryptografie te zien die uw SBOM niet kan? Bekijk CBOM Secure in actie, of leer wat een CBOM is.