Vulnerability-adjusted SBOM

Vulnerability-adjusted SBOM 是在原始 SBOM（Software Bill of Materials）基礎上，透過自動化工具整合漏洞資料庫（如 NVD）與可利用性評估（如 EPSS）後的動態資產清單。傳統 SBOM 僅列出組件版本，但未區分「已知有漏洞但不可觸達」與「可被實際利用」的差異。Vulnerability-adjusted SBOM 透過風險評分機制（如 CVSS 4.0），將漏洞的嚴重性與實際攻擊面結合，提供可行動的風險優先順序。這與 ISO/IEC 27701 的個資保護控制措施及 EU AI Act 第 17 條對高風險 AI 系統的透明度要求高度相關，是現代軟體供應鏈風險管理的基礎。臺灣企業若僅持有靜態 SBOM，將面臨無法有效回應資安事件的困境。

實務導入通常分為三個階段：第一步，建立自動化 SBOM 產製管線，整合 CI/CD 流程，確保每次軟體發布皆生成符合 NTIA 要求的 SBOM（如 CycloneDX 或 SPDX 格式）。第二步，串接漏洞情資平臺（如 GitHub Advisory Database、OSV），將 CVE 資訊即時注入 SBOM。第三步，依據 CVSS 評分與 EPSS（Exploit Prediction Scoring System）進行風險調整，產出優先修補清單。以臺灣製造業導入為例，某企業透過此機制將 IoT 產品的漏洞修補效率提升 40%，並在 6 個月內減少 60% 的緊急資安事件。這直接對應 ISO 27701 條文 6.1.2 的風險評估要求，確保個資處理系統的持續性。

臺灣企業導入此機制主要面臨三個挑戰。首先是技術人才稀缺，特別是能理解 SBOM 格式與漏洞評分邏輯的複合型人才。建議透過 ISO 27701 培訓與國際認證（如 CISA）建立內部能力。其次是供應商協作困難，許多臺灣中小企業的軟體供應商無法提供機器可讀的 SBOM。企業應在採購合約中明確要求 SBOM 交付標準，並提供採購範本。第三是工具整合成本高，建議採用開源工具（如 Dependency-Track）起步，逐步擴展至商業化平臺。臺灣企業應以 90 天為期，先完成核心產品的 SBOM 盤點，再擴展至全供應鏈，以符合臺灣個資法第 27 條對技術安全措施的要求。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Vulnerability-adjusted SBOM相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact