K+全球软件研发行业创新峰会

分论坛：工程创新

专题：开源基础软件

内容简介：

开源组件使用的比例越来越高，企业很难通过维护Excel表格的形式去做统一的管理，不仅会浪费大量人力，这种方式的准确性、有效性也值得商榷。目前在企业实践中，开发人员通过SCA工具生成SBOM清单来高效管理使用的开源组件。特别是针对产品线众多或覆盖全球销售市场的企业，SBOM可发挥巨大的作用，助力企业追溯安全漏洞。但是SBOM有其自身局限性，并不能解决软件供应链各个环节的所有问题，结合SLSA这种框架可以在源代码、构建和来源/出处方面对代码进行规范和要求，从而确保软件供应链的源代码完整性、构建完整性和可用性。遵循SLSA框架生成的SBOM内容会更准确、信息更丰富也更可信。

演讲提纲：

1. SBOM如何支撑漏洞追踪 2. SBOM的局限性 3. SLSA与SBOM的结合如何帮助企业应对软件供应链攻击

听众收益：

经过本次讨论，对SBOM、SBOM对企业管理开源组件发挥的巨大作用有更深入的了解。同时也了解SBOM的盲点和不足之处，结合SLSA框架，怎样让企业软件供应链变得更安全。