Perché non posso sapere se ciò che è in esecuzione corrisponde a quanto dichiarato nel mio SBOM?
Opportunità
Gli SBOM vengono generati al momento della build e descrivono il contenuto dichiarato da quella build. Quando il software viene distribuito e messo in esecuzione, le dipendenze possono essersi spostate, le librerie collegate staticamente non lasciano tracce a runtime, e non esiste un primitivo standard per verificare che un processo attivo corrisponda al bill of materials dichiarato. L'analisi IBM del 2025 su oltre 35.000 SBOM ha rilevato che 7.907 di essi non divulgavano le dipendenze dirette, e la guida all'implementazione ENISA del dicembre 2025 indica la deriva a runtime come uno dei principali gap aperti. Il divario tra un SBOM firmato e un container in esecuzione è attualmente colmato solo dalla fiducia.
Perché è importante
Le normative nell'UE e negli Stati Uniti impongono ora gli SBOM, ma senza attestazione a runtime rimangono un artefatto di audit, non un controllo di sicurezza.
Come valuto l'opportunità
L'Opportunity Score è la mia valutazione personale, non una misurazione: quanto fa male, con quale frequenza colpisce e quanto poco esiste per risolverlo oggi. Un punteggio più alto significa che lo ritengo più degno di essere sviluppato.
Quanto dolore provoca quando si manifesta.
Quanto spesso le persone ci si imbattono davvero.
Quanti pochi strumenti validi esistono oggi per affrontarlo.
Altri problemi che vale la pena risolvere
Perché il software da cui dipendiamo di più è il peggiore da usare?
TechPerché non possiedo ancora nessuno dei dati che genero?
TechPerché non riesco a ottenere una ricevuta che dimostri che i miei dati sono stati effettivamente eliminati?
TechPerché ogni catena di provenienza C2PA si spezza nel momento in cui i contenuti raggiungono i social media?
TechPerché i miei test generati dall'IA non rilevano i bug che avrebbero dovuto individuare?
TechPerché posso portare i miei post ma non il profilo che le piattaforme hanno costruito osservandomi?