剛考完IPAS資訊安全工程師中級考試，發現資安的範圍早不再只有防火牆、IDS/IPS、VPN這些傳統的防護機制，而是逐漸往供應鏈安全、法規遵循、工控、AI方向發展。

而SBOM，就是近期一直被提到的重要關鍵字之一。

SBOM 到底是什麼？

SBOM（Software Bill of Materials）：
把元件、版本、來源與相依關係記錄下來的一份清單。
例如：
開源套件、第三方元件、自家開發模組

為什麼突然變重要？
近年許多重大資安事件，其實不是企業自己的程式出問題，而是底層相依的開源元件發生漏洞，甚至OWASP Top 10 2025清單中，「 A03軟體供應鏈失敗 (Software Supply Chain Failures)」已被列為前三大風險。

相關名詞
SBOM（Software Bill of Materials）軟體物料清單
SPDX 軟體套件資料交換格式：記錄 SBOM 的標準格式，ISO/IEC 5962:2021 國際標準。
CycloneDX：另一種主流的 SBOM 格式，由 OWASP 推動，強調資安風險。

下列何者屬於 SBOM 常見格式？
(A) PDF
(B) DOCX
(C) SPDX
(D) TXT
答案：C

參考資料
SBOM 是什麼？為什麼客戶突然都在要？一次搞懂 SBOM 軟體物料清單是什麼（iThome）