供应链安全合规：NIST SP 800-161与软件物料清单

供应链安全合规：NIST SP 800-161与软件物料清单

SolarWinds和Log4j事件后，软件供应链安全从nice-to-have变成了监管强制要求。NIST SP 800-161为ICT供应链风险管理提供了框架，其核心要求是SBOM（软件物料清单）——列出你的软件中包含的每一个组件及其版本、来源和依赖关系。

生成SBOM的工具：Syft扫描Docker镜像和代码仓库生成SPDX或CycloneDX格式的SBOM。Grype读取SBOM并与漏洞数据库（GitHub Advisory Database）交叉比对，列出已知漏洞。CI/CD集成：每次构建自动生成SBOM并作为Release Artifact发布。美国联邦机构在2026年已将SBOM作为软件采购的必备条件——如果你的产品想卖给美国政府，SBOM不再是可选项。