Apa yang terjadi
Pada 29 Juli 2026, CISA dan 17 agensi keamanan siber nasional co-authoring menerbitkan '2026 Minimum Elements for a Software Bill of Materials (SBOM)', revisi penuh pertama dari baseline SBOM sejak dokumen NTIA 2021 asli (dengan draft antara Agustus 2025). Revisi ini menggabungkan umpan balik dari 90+ komentar publik dan secara eksplisit memperluas cakupan ke SBOM untuk sistem perangkat lunak AI dan perangkat lunak SaaS/cloud, menambahkan elemen baru (SBOM Author Signature, SBOM Tool Name/Version, SBOM Generation Context, Component Hash Algorithm, Component License) dan memperbarui yang lain (Supplier Name→Component Producer, Depth→Coverage, Known Unknowns→Explicitly Identifying Unknown Information). Bagian diskusi khusus membahas 'SBOM for AI Software Systems'.
Mengapa penting
Ini adalah dokumen panduan bersama multi-pemerintah normatif (18 agensi co-authoring di seluruh AS, Australia, Kanada, negara anggota EU, Jepang, Korea, India, dll.) yang menetapkan standar transparansi/rantai pasokan baseline yang diharapkan dipenuhi oleh produsen perangkat lunak, pembeli, dan operator — sekarang secara eksplisit mencakup model/komponen perangkat lunak AI. Karena elemen minimum SBOM sering dirujuk oleh kerangka kerja pengadaan dan regulasi, pembaruan ini secara efektif meningkatkan standar minimum untuk transparansi rantai pasokan AI di seluruh ekosistem yang mengadopsi baseline SBOM NTIA/CISA.
Tindakan yang diperlukan
Organisasi yang memproduksi, membeli, atau mengoperasikan perangkat lunak (termasuk perangkat lunak AI) harus memperbarui praktik pembuatan/permintaan SBOM untuk memenuhi elemen minimum 2026 (dalam CycloneDX 1.6 atau SPDX 2.3/3.0), termasuk elemen SBOM khusus AI baru dan bidang metadata penandatanganan penulis/perkakas.