Skip to content
Tech

لماذا لا أستطيع معرفة ما إذا كان ما يعمل فعلاً يطابق ما أعلنه SBOM الخاص بي؟

86

الفرصة

تُولَّد قوائم مكونات البرمجيات (SBOMs) في وقت البناء وتصف ما ادّعى البناء أنه يحتويه. بحلول وقت نشر البرنامج وتشغيله، ربما انجرفت التبعيات، وتترك المكتبات المرتبطة بشكل ثابت أثراً لا يُرى في وقت التشغيل، ولا توجد أداة معيارية للتحقق من أن عملية مباشرة تطابق قائمة المواد المُعلنة. وجد تحليل IBM لعام 2025 لأكثر من 35,000 SBOM أن 7,907 منها أخفقت في الإفصاح عن التبعيات المباشرة، وتُصنّف وثيقة التنفيذ الصادرة عن ENISA في ديسمبر 2025 انجراف وقت التشغيل باعتباره أحد الفجوات المفتوحة الجوهرية. الفجوة بين SBOM موقّع وحاوية قيد التشغيل لا يجسرها حالياً سوى الثقة وحدها.

لماذا تهم

تُلزم اللوائح في الاتحاد الأوروبي والولايات المتحدة الآن باعتماد قوائم مكونات البرمجيات (SBOMs)، لكن بدون شهادة وقت التشغيل تظل أدوات تدقيق لا ضوابط أمنية.

كيف أقيّم الفرصة

نقاط الفرصة هي قراءتي الشخصية لا قياس دقيق: مدى تأثير المشكلة، وتكرار مواجهتها، وشُح الحلول المتاحة لها اليوم. كلما ارتفعت النقاط، كان البناء في رأيي أجدر بالاهتمام.

الحدّة9/10

مقدار الألم الذي تسببه حين تظهر.

التكرار8/10

مدى تكرار مواجهة الناس لها فعلياً.

الفراغ السوقي8/10

مدى شُح الأدوات الجيدة المتاحة لها اليوم.

مزيد من المشكلات التي تستحق الحل