EUA e 14 aliados divulgam orientação conjunta sobre lista de materiais de software

EUA e 14 aliados divulgam orientação conjunta sobre lista de materiais de software

Em uma colaboração histórica, agências de segurança cibernética e inteligência de 15 países se alinharam em uma visão compartilhada para Listas de materiais de software (SBOMs), emitindo novas orientações conjuntas para fortalecer a segurança da cadeia de suprimentos global.

O documento, intitulado “Uma visão compartilhada da lista de materiais de software (SBOM) para segurança cibernética“, foi publicado em 3 de setembro.

Foi assinado por 21 agências governamentais de 15 países, incluindo a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e a NSA.

Ele descreve os principais termos e conceitos relacionados aos SBOMs, incluindo uma definição comum do que é um SBOM, a proposta de valor dos SBOMs e como implementá-los.

Ele descreve as funções dos produtores de SBOM, usuários finais (chamados de “selecionadores” no documento), operadores e organizações nacionais de segurança cibernética.

Além disso, a orientação incentiva a adoção generalizada de SBOM em todos os setores e fronteiras, implementações técnicas harmonizadas para reduzir a complexidade e o custo e integração de SBOMs em fluxos de trabalho de segurança para melhor gerenciamento de riscos.

“Este marco reflete um crescente consenso internacional sobre a importância da transparência do software na proteção da cadeia de suprimentos digital”, comentou um porta-voz da CISA.

Lukáš Kintr, diretor da Agência Nacional de Segurança Cibernética e da Informação da República Tcheca (NÚKIB), um dos signatários, enfatizou a crescente complexidade do software que as organizações devem enfrentar.

“O software de hoje geralmente consiste em centenas de componentes originários de várias fontes e bibliotecas. O SBOM traz transparência essencial a esse ambiente complexo e mostra claramente do que o software é feito. Considero o SBOM um passo fundamental para a criação de software verdadeiramente seguro e resiliente – já desde o seu design”, disse ele.

Nobutaka Takeo, diretor da Divisão de Segurança Cibernética do Departamento de Política de Comércio e Informação do Ministério da Economia, Comércio e Indústria do Japão (METI), declarou: “Estamos satisfeitos em ver que a importância do SBOM está sendo reconhecida internacionalmente por meio desta diretriz. No ano passado, o Japão lançou o SBOM Guidance 2.0 e continuaremos a aumentar a conscientização sobre o SBOM entre as partes interessadas relevantes, contribuindo ativamente para as discussões internacionais sobre o assunto.”

Trabalhando para a harmonização e legislação da SBOM

Allan Friedman, que liderou os esforços de SBOM da CISA entre agosto de 2021 e julho de 2025, saudou a publicação da orientação conjunta.

Em um post no LinkedIn, ele enfatizou que era “o maior número de organizações que já aderiram à CISA em um documento internacional”.

“Não há nada aqui inovador, mas é ótimo ter uma contribuição tão ampla de tantos países”, acrescentou, antes de sugerir que ainda são necessários mais passos, incluindo a harmonização das implementações técnicas.

“Implementações divergentes podem impedir a adoção generalizada e a implementação sustentável do SBOM. Uma abordagem alinhada e coordenada para o SBOM melhorará a eficácia e reduzirá custos e complexidades”, disse ele.

Falando com Segurança da informação, Josh Bressers, vice-presidente de segurança da Anchore e líder do grupo de trabalho OpenSSF SBOM Everywhere, descreveu o esforço como uma iniciativa “ótima”.

No entanto, ele corroborou a visão de Friedman, afirmando que este acordo de alto nível é apenas “o primeiro passo lógico para ver uma adoção global da transparência do software por meio de SBOMs”.

O desejo de Bressers para o próximo passo é ver legislação e orientação comuns sobre a segurança da cadeia de suprimentos de software entre os países signatários.

“A maioria dos produtores opera em um cenário global agora, [regulations] como a da UE Lei de Resiliência Cibernética (CRA) vão afetar um grande número de empresas. Sem dúvida, outros países criarão orientações semelhantes. Se não tivermos uma visão comum, será muito difícil atender a todos os requisitos”, concluiu.

Além da CISA, da NSA, do NÚKIB e do METI, as organizações signatárias incluíram:

  • Centro Australiano de Segurança Cibernética da Diretoria de Sinais Australiano (ASD’s ACSC)
  • O Centro Canadense de Segurança Cibernética (Cyber Centre)
  • A Agência Francesa de Segurança Cibernética (ANSSI)
  • Escritório Federal de Segurança da Informação da Alemanha (BSI)
  • A Equipe Indiana de Resposta a Emergências de Computadores (CERT-In)
  • Nat da ItáliaAgência Nacional de Cibersegurança (ACN)
  • Escritório Nacional de Segurança Cibernética do Japão (NCO)
  • Centro Nacional de Segurança Cibernética da Holanda (NCSC-NL)
  • Centro Nacional de Segurança Cibernética da Nova Zelândia (NCSC-NZ)
  • Rede de Computadores Acadêmicos e de Pesquisa da Polônia (NASK)
  • A Agência de Segurança Cibernética de Cingapura (CSA)
  • Autoridade Nacional de Segurança da Eslováquia (NBÚ)
  • Serviço Nacional de Inteligência da Coreia do Sul/Centro Nacional de Segurança Cibernética (NIS/NCSC) e Agência Coreana de Internet e Segurança (KISA)

Leia mais: CISA busca mudança na diretriz de requisitos mínimos de SBOM da era Biden

azaeo.com – datalake

File fishes formats available in:

TextoJSONJSON-LDXMLHTMLHTML SourcePDFMarkdown

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.