Граф доказательств вместо шести разрозненных спецификаций состава

Организации уже собирают несколько «спецификаций состава»: ПО, железо, модели ИИ, облако, сборка, иногда ещё и данные. Каждая закрывает свой чек-лист. Вместе они не отвечают на простой вопрос: какой компонент в каком контуре сейчас работает и чем это доказано. Сунил Гентала в CSO предлагает не шесть отдельных программ BOM, а федеративный граф доказательств с общим контрактом метаданных. Пересказ — по этой колонке, не по вендорскому питчу.

Почему шесть списков не складываются

SBOM закрывает требование CISA и закупку. HBOM описывает железо. AIBOM — модели и датасеты. Облачный BOM — образы и сервисы. Сборочный — пайплайн. Каждый живёт в своей системе, со своим владельцем и своей датой «актуально на». Когда спрашивают «задета ли вот эта CVE у нас», команда открывает шесть файлов и всё равно звонит админу контура.

Европейский Cyber Resilience Act добавляет давление на состав продукта, который выводят на рынок. Если состав есть только как вложение к тендеру, к моменту инцидента он уже врёт. Граф в колонке — не новая база на всё, а способ связать уже собранные артефакты: компонент → сборка → контур → доказательство (скан, подпись, акт внедрения).

Что предлагают связать, а не закупать

Федеративная схема в колонке: оставить профили в родных форматах, обернуть общим конвертом метаданных и связать типизированными отношениями. В конверте — предмет, версия, дайджест, кто произвёл, срок годности, полнота, владелец, криптографическая целостность. CycloneDX, SPDX, SLSA, VEX, CSAF могут дать «сантехнику»; цель — несколько общих смыслов, не внедрить все стандарты сразу.

Где это в модели зрелости

Состав и доказательство патча — уязвимости. Если граф нужен совету, это ещё и отчётность. Карта — /zrelost.

Как проверить

Выберите один сервис с известной CVE за год. Засеките, сколько часов ушло на ответ «есть / нет / где». Если ответ собрали из почты, а не из состава, шестой BOM вам не поможет.

Не начинайте с закупки «платформы графа». Сведите в одну таблицу: пакет, контур, дата скана, акт патча. Процесс закрытия дыр — в от скана до закрытия.

Источники

• CSO Online / Sunil Gentyala. Your enterprise doesn’t need six BOM programs. It needs one evidence graph. URL: https://www.csoonline.com/article/4231283/your-enterprise-doesnt-need-six-bom-programs-it-needs-one-evidence-graph.html.