A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) publicou a versão 2026 do documento Minimum Elements for a Software Bill of Materials (SBOM), consolidando a evolução das diretrizes originalmente desenvolvidas pela NTIA em 2021. A nova publicação reflete quatro anos de amadurecimento das práticas de segurança da cadeia de suprimentos de software e estabelece critérios significativamente mais rigorosos para a criação, manutenção e compartilhamento de SBOMs.
O Software Bill of Materials (SBOM) funciona como uma “lista de ingredientes” de uma aplicação, registrando todos os componentes, bibliotecas, dependências, versões e relações existentes entre eles. Seu principal objetivo é permitir que fornecedores e clientes identifiquem rapidamente se um produto incorpora componentes vulneráveis quando novas falhas de segurança são divulgadas.
A atualização promovida pela CISA amplia substancialmente o conceito de SBOM. Enquanto a orientação de 2021 estabelecia um conjunto básico de informações, a versão de 2026 passa a exigir maior completude dos dados, atualização contínua durante todo o ciclo de vida do software e melhor representação das relações de dependência entre componentes. O documento também foi elaborado em conjunto com diversos órgãos governamentais internacionais, refletindo um consenso crescente sobre a necessidade de padronização global da transparência na cadeia de suprimentos de software.
Principais mudanças
Entre as alterações mais relevantes está a exigência de cobertura completa das dependências, incluindo dependências transitivas, sem limitação mínima de profundidade. Caso um mesmo componente apareça em diferentes instâncias com metadados distintos, cada ocorrência deverá ser registrada individualmente juntamente com seu relacionamento de dependência.
Outro avanço importante diz respeito à frequência de atualização. Cada nova versão, compilação (build) ou atualização do software deve possuir seu próprio SBOM correspondente. Da mesma forma, caso sejam descobertas novas informações sobre componentes existentes ou identificados erros na documentação anterior, um SBOM revisado deve ser publicado.
A CISA também reforça requisitos de qualidade dos dados, incentivando a utilização de identificadores padronizados para componentes, fornecedores, versões, licenças, hashes criptográficos e relacionamentos entre pacotes, reduzindo ambiguidades durante processos automatizados de análise de vulnerabilidades.
Da conformidade para a gestão contínua de riscos
Na prática, a nova diretriz desloca o SBOM de um documento meramente utilizado para conformidade regulatória para um elemento operacional permanente da gestão de riscos de segurança.
A intenção é permitir que ferramentas automatizadas consigam correlacionar, quase em tempo real, vulnerabilidades recém-divulgadas (CVEs), componentes afetados e ativos instalados em ambientes produtivos, acelerando processos de resposta a incidentes.
Esse movimento acompanha a crescente adoção de DevSecOps, pipelines CI/CD e gestão automatizada de vulnerabilidades, tornando o SBOM parte integrante da engenharia de software segura e da governança da cadeia de suprimentos digital.
Impacto para ambientes industriais
Embora o documento tenha origem no governo dos EUA, suas recomendações possuem impacto direto sobre fabricantes de sistemas industriais, fornecedores de automação, integradores e operadores de infraestrutura crítica.
Controladores industriais (PLCs), sistemas SCADA, plataformas DCS, aplicações MES, softwares de supervisão e gateways IIoT incorporam atualmente centenas ou milhares de bibliotecas de terceiros, muitas delas de código aberto. A ausência de um inventário completo dificulta a identificação de exposições quando vulnerabilidades críticas são descobertas.
Em setores como óleo e gás, energia elétrica, saneamento, mineração e manufatura, onde equipamentos permanecem em operação durante décadas, a manutenção de SBOMs atualizados tende a se tornar requisito essencial para programas de gerenciamento de ativos, gestão de vulnerabilidades e conformidade com normas como IEC 62443, NIST Secure Software Development Framework (SSDF) e futuras regulamentações internacionais sobre segurança da cadeia de suprimentos.
Tendência global
A publicação da CISA ocorre em um momento em que diversas jurisdições fortalecem requisitos relacionados à segurança do software. Regulamentos como o Cyber Resilience Act (CRA) europeu, iniciativas do NIST e políticas federais norte-americanas caminham para exigir maior transparência dos componentes utilizados pelos fornecedores de software.
O consenso internacional é que organizações não conseguem proteger aquilo que desconhecem. Nesse contexto, o SBOM deixa de ser apenas um inventário técnico para tornar-se um componente estratégico da segurança cibernética, permitindo rastreabilidade, resposta rápida a vulnerabilidades e maior confiança em cadeias globais de fornecimento de software.
