网络安全技术 软件物料清单数据格式.pdf

网络安全技术软件物料清单数据格式

Cybersecuritytechnology-Softwarebillofmaterialsdataformat

目次

前言II

引言III

1范围4

2规范性引用文件4

3术语和定义4

4缩略语5

5软件物料清单组成5

6清单文件格式要求6

7软件物料清单元素6

附录A（资料性）软件物料清单必要字段21

附录B（资料性）软件物料清单实例参考23

参考文献32

I

II

引言

软件物料清单描述了软件组成信息，以提升软件产品的成分透明度，为软件的供应链安全管理提

供支撑。本文件提出了软件物料清单数据格式，以实现相关信息在软件生产、销售和使用各相关方之

间的交换和使用。。

软件物料清单数据格式描述软件的内部组成和内外部依赖，包括构成软件的组件、文件、代码片

段及其依赖关系，软件运行依赖的基础环境和外部网络服务，以及软件生产依赖的开发工具，并且提

供必要的安全信息，为软件物料清单信息的生成、共享和使用提供参考。

III

网络安全技术软件物料清单数据格式

1范围

本文件规定了软件物料清单数据格式，包括软件物料清单组成、软件物料清单文件格式要求和软

件物料清单元素，以及软件物料清单中各元素的属性和属性值格式等信息。

本文件适用于指导软件供应链相关方之间进行软件物料清单信息的生成、共享和使用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T11457-2006信息技术软件工程术语

GB/T25069-2022信息安全技术术语

GB/T36475-2018软件产品分类

3术语和定义

GB/T25069－2022中界定的以及下列术语和定义适用于本文件。

3.1

软件产品softwareproduct

向用户提供的计算机软件、信息系统或设备中嵌入的软件或在提供计算机信息系统集成、应用服

务等技术服务时提供的计算机软件。

注1：本文件中软件产品简称为软件。

[来源：GB/T36475—2018，3.1.1，有修改]

3.2

软件物料清单softwarebillofmaterials

描述软件产品的组成成分、内外部依赖关系、来源信息以及潜在的安全风险信息的清单。

注1：本文件中清单为软件物料清单的简称。

3.3

外部网络服务externalservice

通过网络为软件运行提供必要功能的非软件自身具备的应用服务，例如：域名服务、CDN服务、邮

件发送、短信发送、消息推送、支付接口等。

3.4

制品artifact

4

GB/TXXXXX—XXXX

由某一种软件开发过程所使用的或所产生的一种信息的文件。制品的实例有模型、源文件、文本

和二进制可执行文件。

[来源：GB/T11457-2006，2.76，有修改]

4缩略语

CPE：通用平台枚举（CommonPlatformEnumeration）

HTTP：超文本传输协议（HypertextTransferProtocol）

JSON：JavaScript对象标记语言（JavaScriptObjectNotation）

PURL：包统一资源定位符（PackageUniformResourceLocators）

RPC：远程过程调用协议（RemoteProcedureCallProtocol）

RTP：实时传输