本文参考NIST 官方资料于2022-09-19发布或更新的《NIST IR 8425 consumer IoT cybersecurity baseline》公开资料，并结合产品网络安全检测实务进行整理。
SBOM正在从软件工程资料变成产品安全合规证据。联网设备往往同时包含固件、开源库、移动应用、云端服务和第三方SDK，若没有组件清单，企业很难判断新漏洞是否影响自身产品，也难以及时形成修复和报告依据。
一、SBOM解决什么问题
SBOM的核心价值是让产品中使用的组件、版本、来源和依赖关系可追溯。它不是简单的开源清单，而是漏洞监测、许可证管理、补丁评估和合规报告的基础数据。
二、检测怎么使用
测试人员可以基于SBOM核对高风险组件、已知CVE、编译配置、未使用但残留的库文件和供应商二进制。对于固件产品，还应结合镜像解包结果和企业提供清单做差异比对。
三、与法规的关系
CRA强调产品全生命周期安全维护和漏洞处理，澳大利亚、英国、美国和日本的IoT安全要求也都关注更新与漏洞响应。SBOM能够帮助企业快速判断影响范围，支撑漏洞上报和用户通知。
四、常见问题
常见问题包括清单只覆盖App不覆盖固件、组件版本写到大版本、供应商库无法说明来源、漏洞修复后未更新记录、不同型号共用组件却没有平台级映射。这样会导致问题发生时难以定位影响面。
五、建设建议
建议在构建流程中自动生成SBOM，并与版本发布、漏洞监测和补丁验证绑定。每次正式发布都应保存清单快照，后续发现漏洞时才能判断哪些批次、型号和软件版本需要处置。
六、领世达检测建议
企业在规划网络安全检测和认证时，应先明确目标市场、产品形态、联网方式、数据类型、软件版本、供应链组件和计划上市时间，再选择适用标准和测试深度。本文为公开资料的原创整理，不替代法规、标准原文或主管机构最终解释，具体项目仍需结合产品功能和销售路径判断。
联系我们
深圳市领世达检测技术有限公司专注产品网络安全检测、EN 18031、欧盟CRA、全球智能设备安全合规、渗透测试、代码审计、固件与物联网安全测试。可提供适用性判断、差距分析、预检、整改复测、报告查验和技术资料支持。官网：https://www.lsd-lab.cn/；客服热线：400-661-8031；邮箱：wangkai@lsd-lab.cn；地址：广东省深圳市宝安区福永街道智美汇志科技园。