Varför en kryptografisk materiallista (CBOM) är viktigare än någonsin: Vägledning för företags PQC

Vi lever i en alltmer sammankopplad värld där digital säkerhet är av största vikt. Varje klick, varje transaktion och varje dataenhet är beroende av kryptografi . Men i takt med att våra programvarusystem blir alltmer komplexa och kraftfulla nya datortekniker dyker upp, har det blivit en betydande utmaning att verkligen förstå och hantera alla dolda kryptografiska delar i våra digitala verktyg. Om du inte kan se det kan du inte riktigt skydda det. En kryptografisk materiallista (CBOM) är svaret: det är en maskinläsbar inventering som kartlägger varje kryptografisk algoritm, nyckelstorlek, certifikat, protokoll och bibliotek i dina system, vilket ger den synlighet som krävs för kvantriskbedömning, regelefterlevnad och PQC-migrering. Två viktiga förordningar, DORA artikel 9 och PCI DSS krav 12.3.3, har krävt dokumenterade kryptografiska inventeringar som verkställbara skyldigheter sedan början av 2025. Den rekommenderade åtgärden: bygg en kontinuerligt underhållen CBOM nu, eftersom PQC-migrering inte kan börja utan att veta vilka kvantumsårbara algoritmer som används och var. För den kryptografiska upptäcktsmetodik som matar en CBOM, se Du kan inte säkra det du inte kan se.

Snabbt svar: Vad är en CBOM och varför krävs den nu?

En CBOM (Cryptography Bill of Materials) är en strukturerad, maskinläsbar inventering av varje kryptografisk tillgång i en organisations miljö: algoritmer, nyckelstorlekar, certifikat, protokoll och biblioteksimplementeringar. Den krävs nu eftersom DORA artikel 9.2 har föreskrivit ett dokumenterat register över kryptografiska tillgångar sedan den 17 januari 2025; PCI DSS krav 12.3.3 har föreskrivit en kontinuerligt underhållen inventering av krypteringssviter sedan den 31 mars 2025; och PQC-migrering enligt NIST FIPS 203, 204, 205 och CNSA 2.0-deadlines kan inte planeras utan den. CBOM är grunden som varje efterlevnadskrav och varje migreringsinitiativ är beroende av. För PQC-migreringskontext, se Viktiga steg för beredskap efter kvantkryptografi.

Vad är egentligen en CBOM?

Du skulle inte köpa en komplex produkt utan att veta vad som finns inuti. En CBOM tillämpar samma princip på din programvaras säkerhet. Det är en mycket detaljerad, maskinläsbar inventering som noggrant kartlägger varje kryptografisk komponent som är inbäddad i dina applikationer, system eller produkter. Den anger inte bara i stort att kryptering används. Istället ger en CBOM detaljer som:

• De exakta algoritmerna och deras detaljer: Detta innebär att identifiera inte bara AES, utan även dess exakta variant, såsom AES-128-GCM. Denna detaljnivå skiljer kvantsäkra algoritmer från kvantsårbara algoritmer, och korrekt implementerade algoritmer från svagt konfigurerade algoritmer.
• Nyckelstyrkor: Att känna till styrkan på dina nycklar (till exempel en 2048-bitars RSA nyckel) indikerar direkt din krypterings motståndskraft mot både nuvarande och kvantumkapabla motståndare. RSA-2048 är avsedd att avvecklas senast 2030 enligt NIST IR 8547.
• Dina digitala inloggningsuppgifter: En CBOM listar alla digitala certifikat, med detaljerad information om vem som utfärdat dem, deras giltighetstider, de algoritmer de använder och deras format. Detta möjliggör proaktiv övervakning av utgångsdatum och identifiering av skuggcertifikat via loggar för certifikattransparens.
• Säkerhetsprotokoll och regler: Den anger de säkra kommunikationsprotokoll som din programvara följer, till exempel TLS 1.3, och de specifika krypteringssviterna som är aktiva för varje anslutning. En server som är konfigurerad för att stödja TLS 1.3 kan fortfarande förhandla om TLS 1.1 med äldre slutpunkter; CBOM fångar upp vad som faktiskt förhandlas fram, inte bara vad som är konfigurerat.
• Status för kvantsårbarhet: Varje CBOM-post bör ha en kvantsårbarhetsklassificering kopplad till huruvida algoritmen är förstörd av Shors algoritm (RSA, ECC, DH är alla det), resistent mot kända kvantattacker (AES-256, SHA-3, ML-KEM är det) eller under granskning (algoritmer fortfarande under NIST-utvärdering).
• Kartläggning av ägarskap och efterlevnad: Varje tillgång bör mappas till en ägare eller ett team som ansvarar för sanering och till de myndighetskrav som styr den, vilket möjliggör generering av bevis för efterlevnad av DORA artikel 9, PCI DSS 12.3.3 och CNSA 2.0 direkt från inventeringen.

Denna detaljerade detaljrikedom ger oöverträffad transparens. Den låter dig snabbt identifiera föråldrade eller svagt konfigurerade säkerhetskomponenter och säkerställa att dina implementeringar uppfyller aktuella standarder. Det handlar om proaktiv säkerhetshantering, inte om att reagera på incidenter efter att de inträffat.

CBOM vs SBOM: Vad är skillnaden?

En CBOM är en specialiserad utökning av en SBOM (Software Bill of Materials), inte en ersättning för den. En SBOM tillhandahåller en övergripande inventering av alla programvarukomponenter i en applikation eller produkt. En CBOM lägger till det kryptografiska lagret: istället för att bara lista att en komponent finns, dokumenterar den den specifika algoritmen och parameteruppsättningen som komponenten använder, nyckelstorlek och nyckeltyp, certifikatdetaljer samt säkerhetsprotokollversion och krypteringskonfiguration. För en fullständig jämförelse, se Hur CBOM skiljer sig från SBOM.

Attribut	SBOM	CBOM
Omfattning	Alla programvarukomponenter	Alla kryptografiska komponenter specifikt
kornighet	Komponentnamn, version, licens, beroendeträd	Algoritm, parameteruppsättning, nyckelstorlek, certifikatdetaljer, protokollversion, chiffersvit
Kvant relevans	Tar inte itu med kvantumsårbarhet	Inkluderar kvant sårbarhetsstatus per tillgång
Användning av efterlevnad	NTIA SBOM minimikrav, Executive Order 14028	DORA Artikel 9, PCI DSS 12.3.3, CNSA 2.0, NIST IR 8547
Användning av PQC-migrering	Kan inte driva PQC-prioritering	Nödvändig grund för PQC-migreringsplanering

Varför en CBOM är avgörande för din organisation idag

Behovet av en CBOM växer snabbt, drivet av betydande förändringar i den digitala säkerhetsmiljön:

1. Efterlevnad är redan obligatorisk

   Två viktiga regleringar kräver dokumenterade kryptografiska inventarier som verkställbara skyldigheter. DORA artikel 9.2 kräver att finansiella enheter för ett uppdaterat register över alla informationstillgångar, inklusive kryptografiska tillgångar, för alla IKT-system som stöder kritiska eller viktiga funktioner. DORA artikel 7.4 kräver vidare att registret ska inkludera alla digitala certifikat och de enheter där de lagras. Båda bestämmelserna har varit verkställbara sedan den 17 januari 2025. PCI DSS krav 12.3.3 kräver en dokumenterad, kontinuerligt underhållen inventering av alla kryptografiska chiffersviter och protokoll som används, med en affärsmässig motivering per post, aktiv övervakning av lönsamhet och en dokumenterad responsstrategi för identifierade kryptografiska sårbarheter. Detta krav har varit verkställbart sedan den 31 mars 2025. En organisation som inte kan uppvisa den erforderliga dokumentationen under en tillsynsgranskning har en lucka i en aktiv verkställighetsskyldighet, inte en framtida färdplanspunkt.

2. PQC-migrering kräver det

   NIST slutförde FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) och FIPS 205 (SLH-DSA) i augusti 2024. NIST IR 8547 utser RSA-2048 och ECC P-256 för avveckling senast 2030 och fullständig avstängning senast 2035. NSA CNSA 2.0 sätter bindande deadlines för nationella säkerhetssystem från och med januari 2027. Att veta vilka algoritmer man ska migrera till är bara halva problemet. Den andra hälften är att veta vilka system som kör RSA, ECDH, ECDSA och Diffie-Hellman, i vilket sammanhang och med vilka hårdvaru- och mjukvaruberoenden. En CBOM tillhandahåller den mappningen. PQC-migreringsplanering utan en CBOM är gissningslek, och migreringsprojekt tar konsekvent dubbelt så lång tid som planerat när de startas utan en baslinjeinventering.

3. Hotet "Skörde nu, dekryptera senare" är aktivt idag

   Angripare fångar krypterad data idag och arkiverar den tills en kryptografiskt relevant kvantdator anländer för att dekryptera den. All data som måste förbli konfidentiell bortom den punkt där en kapabel kvantdator realistiskt skulle kunna existera är redan i fara. En CBOM ger den exakta karta som behövs för att identifiera vilka system som bär Harvest Now, Decrypt Later (HNDL)-exponering: de som överför data med långsiktiga sekretesskrav krypterade under RSA eller ECDH. Dessa system kräver tidigast möjliga migrering. Utan en CBOM finns det inget systematiskt sätt att identifiera dem.

4. Kryptografisk smidighet kräver synlighet

   Cybersäkerhetsmiljön är dynamisk. Nya sårbarheter uppstår och starkare algoritmer utvecklas. Kryptografisk flexibilitet , förmågan att snabbt och effektivt ändra kryptografiska algoritmer, är avgörande. En omfattande CBOM gör det mycket enklare och snabbare att anpassa dina system när nya hot eller uppdaterade standarder uppstår. NIST håller fortfarande på att slutföra FIPS 206 (FN-DSA baserat på FALCON) och HQC. En organisation utan en CBOM kan inte bedöma effekten av ett nytt algoritmtillägg eller en standardrevision på sin miljö.

5. Snabbare incidentrespons

   Tänk dig att en kritisk säkerhetsbrist upptäcks i en allmänt använd krypteringsalgoritm. Utan en CBOM kan det ta dagar eller till och med veckor av manuell sökning att identifiera om och var du använder den sårbara algoritmen. Med en CBOM kan du omedelbart fråga den berörda algoritmen, returnera alla system som använder den tillsammans med ägaren och efterlevnadskontexten, bedöma omfattningen av exponeringen och påbörja åtgärden i prioritetsordning. Samma funktion gäller för nödsituationer med certifikatutgång: en CBOM som spårar certifikatgiltighetsperioder och ägare eliminerar de reaktiva brandövningar som certifikatavbrott orsakar på företagsnivå.

CBOM och aktuella standarder: Vad ditt lager måste spåra

En CBOM är inte användbar som en generisk komponentlista. Den måste struktureras för att stödja de specifika efterlevnads- och migreringsbeslut som är beroende av den. Följande tabell kartlägger de nuvarande standarderna och tidsfristerna som en CBOM måste möjliggöra:

Standard / Krav	Vad CBOM måste spåra	Deadline / Status
NIST IR 8547 (RSA/ECC-utfasning)	Varje RSA- och ECC-nyckel och certifikat; nyckelstorlek och utgångsdatum	Avskrivning senast 2030; avstängning senast 2035
FIPS 203 (ML-KEM)	Vilka nyckelutbytesoperationer använder för närvarande RSA eller ECDH och måste migrera till ML-KEM	Slutfört augusti 2024
FIPS 204 (ML-DSA)	Vilka signeringsåtgärder använder för närvarande RSA eller ECDSA och måste migrera till ML-DSA	Slutfört augusti 2024
CNSA 2.0 (NSS-leveranskedjan)	Alla asymmetriska algoritmer i NSS-angränsande system; överensstämmelse med CNSA 2.0-algoritmkrav	Nyförvärv: januari 2027; exklusiv användning: 2030-2033
DORA artikel 9.2 och 7.4	Alla kryptografiska tillgångar inklusive certifikat och de enheter som innehåller dem för IKT-system som omfattas	Gäller från och med den 17 januari 2025
PCI DSS-krav 12.3.3	Alla krypteringssviter och protokoll med affärsmotivering, övervakning av lönsamhet och svarsstrategi	Gäller från och med den 31 mars 2025

Bygga och styra din CBOM: Viktiga steg

Implementeringen av en CBOM är ett proaktivt och strategiskt steg. Att bygga en kräver identifiering över flera lager, eftersom inget enskilt verktyg avslöjar alla kryptografiska tillgångar:

• Analys av passiv nätverkstrafik: avslöjar vilka kryptografiska protokoll som faktiskt förhandlas fram i produktionstrafiken, inte bara vad konfigurationer säger ska vara tillgängliga.
• Statisk kodanalys: hittar hårdkodade nyckelvärden, föråldrade biblioteksimporter och algoritmval som är fixade i applikationslogiken och som inte kan ändras utan en kodändring och omdistribution.
• Certifikatskanning inklusive CT-loggförfrågningar: visar alla certifikat som någonsin utfärdats för dina domäner, inklusive skuggcertifikat som aldrig registrerats i ditt hanterade certifikatregister.
• Runtime- och binär analys: utvärderar kryptografisk status hos leverantörsenheter, OT-system och firmware där källkod saknas.
• Manuell undersökning: fångar anpassade protokoll, proprietära krypteringsscheman och odokumenterade integrationer som automatiserade verktyg missar.

I huvudsak är en CBOM en avancerad, specialiserad version av en standardlista över programvarukomponenter. Medan en generell lista (ofta kallad SBOM ) ger dig en bra översikt, lägger en CBOM till det avgörande, djupa lagret av kryptografiska detaljer. Den ger en röntgenbild av din digitala säkerhet. CBOM:n måste underhållas kontinuerligt, inte produceras som en engångsögonblicksbild. PCI DSS-krav 12.3.3 kräver uttryckligen kontinuerligt underhåll. DORA artikel 9.2 kräver ett uppdaterat register. Båda kraven uppfylls av en kontinuerligt underhållen CBOM och uppfylls inte av en tidpunktsbedömning som åldras utan uppdatering.

Hur krypteringskonsulting kan hjälpa

Vi är en globalt erkänd ledare inom tillämpad kryptografi och erbjuder PQC-rådgivningstjänster utformade för att hjälpa organisationer att få fullständig insyn och kontroll över sin kryptografiska miljö. Våra tjänster bygger på en strukturerad, heltäckande strategi:

• PQC-bedömning: Vi utför kryptografisk identifiering och inventering för att lokalisera alla era nycklar, certifikat, algoritmer och beroenden i alla miljöer. Detta ger en tydlig bedömning av kvanthot och en analys av kvantberedskap som belyser era sårbarheter, brådskande prioriteringar och efterlevnadsbrister mot DORA, PCI DSS 12.3.3 och CNSA 2.0.
• CBOM-säker: CBOM-säkerhet är Encryption Consultings automatiserade kryptografiska upptäckts- och inventeringsplattform. Den kör alla fem upptäcktslager (passivt nätverk, statisk kod, certifikatskanning, runtime-analys och manuell undersökning) som en enda integrerad funktion. Varje CBOM-post berikas automatiskt med status för kvantsårbarhet, ägarroutning och märkning av regelefterlevnadsgap, så att ditt team alltid arbetar utifrån en prioriterad, kontextualiserad bild av tillgångarna.
• PQC-strategi och färdplan: Baserat på era lagerdata utvecklar vi en anpassad, etappvis migreringsstrategi i linje med NIST-standarder och CNSA 2.0-deadlines, med ett kryptografiskt agilitetsramverk för att förbereda er för framtida förändringar.
• Leverantörsutvärdering och PoC: Vi hjälper er att identifiera, utvärdera och validera PQC- och kryptografiska hanteringslösningar genom rigorösa koncepttest för att säkerställa att de passar era kritiska system.
• Implementering och integration: Vi integrerar sömlöst PQC-klara algoritmer och hybridkryptografiska modeller i era PKI och säkerhetsekosystem för en säker och störningsfri övergång.

Med vår djupa expertis och beprövade ramverk kan du bygga, utvärdera och optimera din kryptografiska infrastruktur, vilket säkerställer både omedelbar efterlevnad och långsiktig beredskap mot kvanthot.

Slutsats

En CBOM är inte längre valfri; det är ett lagkrav enligt DORA och PCI DSS, och den tekniska förutsättningen för PQC-migrering enligt NIST- och CNSA 2.0-deadlines. Genom att tillhandahålla en transparent, detaljerad inventering av dina kryptografiska tillgångar ger en CBOM dig möjlighet att identifiera svagheter, uppfylla regulatoriska förväntningar, prioritera HNDL-exponerade system för tidigast möjliga migrering och strategiskt planera för en säker framtid. De organisationer som bygger sin CBOM nu kommer att ha insynen i att genomföra PQC-migreringen utan avbrott. De som väntar kommer att finna sig själva bygga upp inventeringen och genomföra migreringen samtidigt under regulatoriskt tryck, vilket komprimerar ett flerårigt program till ett otillräckligt fönster. För den kryptografiska upptäcktsmetodik som bygger en CBOM, se Du kan inte säkra det du inte kan se . För den kryptografiska inventeringen som en strategisk grund, se Varför din kryptografiska inventering är din huvudnyckel.

Vanliga frågor om partihandel med mat och dryck

Vad är en CBOM och hur skiljer den sig från en SBOM?

En CBOM (Cryptography Bill of Materials) är en maskinläsbar inventering som identifierar varje kryptografisk algoritm, nyckelstorlek, certifikat, protokoll och bibliotek som används. En SBOM (Software Bill of Materials) tillhandahåller en övergripande inventering av alla programvarukomponenter. CBOM lägger till det kryptografiska lagret: istället för att lista en komponent dokumenterar den den specifika algoritmen och parameteruppsättningen, nyckelstorleken, certifikatdetaljerna och säkerhetsprotokollversionen. En CBOM är en specialiserad utökning av en SBOM som tillhandahåller det kryptografiska djup som behövs för kvantriskbedömning, efterlevnadsdokumentation och PQC-migreringsplanering.

Vilka efterlevnadsregler kräver för närvarande ett kryptografiskt inventarium?

Enligt artikel 9.2 i DORA ska finansiella enheter sedan den 17 januari 2025 upprätthålla ett dokumenterat register över kryptografiska tillgångar. Artikel 7.4 i DORA kräver att registret inkluderar alla digitala certifikat och de enheter som innehåller dem. Krav 12.3.3 i PCI DSS har sedan den 31 mars 2025 krävt en kontinuerligt underhållen inventering av krypteringssviter med affärsmässig motivering och övervakning av lönsamhet. Båda är verkställbara skyldigheter idag, inte framtida färdplaner.

Varför är en CBOM avgörande för migrering av postkvantkryptografi?

En CBOM är avgörande för PQC-migrering eftersom man inte kan migrera det man inte har kartlagt. NIST slutförde FIPS 203, 204 och 205 i augusti 2024, men att veta vilka algoritmer man ska migrera till är bara halva problemet. Den andra hälften är att veta vilka system som kör RSA, ECDH, ECDSA och Diffie-Hellman, och i vilket sammanhang, för att prioritera dem utifrån kvantriskexponering och HNDL-känslighet. Utan en CBOM är migreringsplanering gissningslek.

Vad ska en CBOM-post innehålla för varje kryptografisk tillgång?

En komplett CBOM-post bör innehålla: den exakta algoritmen och parameteruppsättningen; nyckelstorlek och nyckeltyp; för certifikat, utfärdare, giltighetsperiod, ämne och algoritm; säkerhetsprotokollets version och chiffersvitens konfiguration; systemet eller applikationen där tillgången distribueras; ägaren eller teamet som är ansvarigt; status för kvantsårbarhet; efterlevnadsrelevans; och eventuell befintlig migreringsplan eller åtgärdsstatus.

Hur stöder en CBOM incidenthantering?

När en kritisk sårbarhet upptäcks i en kryptografisk algoritm, gör en CBOM att den berörda algoritmen kan sökas direkt, vilket returnerar alla system som använder den tillsammans med ägaren och affärskontexten. Utan en CBOM tar samma sökning dagar eller veckor av manuell ansträngning. Samma funktion gäller för nödsituationer med certifikatutgång: en CBOM som spårar certifikatgiltighetsperioder och ägare eliminerar de reaktiva brandövningar som certifikatavbrott orsakar på företagsnivå.

Vad är skillnaden mellan en statisk CBOM och en kontinuerligt underhållen CBOM?

En statisk CBOM är en ögonblicksbild vid en viss tidpunkt som blir inaktuell allt eftersom miljön förändras. En kontinuerligt underhållen CBOM integreras med automatiserade identifieringsverktyg, versionskontrollsystem och infrastruktur för certifikathantering för att uppdateras allt eftersom miljön utvecklas. PCI DSS-krav 12.3.3 kräver uttryckligen en kontinuerligt underhållen inventering. DORA artikel 9.2 kräver ett uppdaterat register. Båda kraven uppfylls av en kontinuerligt underhållen CBOM och inte av en bedömning vid en viss tidpunkt.