Un SBOM (Software Bill of Materials, ou « nomenclature logicielle ») est un inventaire structuré et lisible par une machine de tous les composants qui constituent un logiciel : bibliothèques, dépendances directes et indirectes, versions, licences et empreintes.
Concrètement, il est généré automatiquement au moment du build, puis stocké avec chaque version livrée. Quand une faille est publiée sur une bibliothèque répandue, on interroge les SBOM pour savoir en quelques minutes quels produits sont touchés, au lieu de fouiller chaque dépôt à la main.
Les deux formats standards sont SPDX (porté par la Linux Foundation) et CycloneDX (porté par l'OWASP). Le SBOM est exigé pour vendre du logiciel à l'administration fédérale américaine depuis l'Executive Order 14028, et le Cyber Resilience Act européen impose aux fabricants de produits numériques de documenter leurs composants.
Pourquoi ça compte quand on recrute
Le sujet relève d'un AppSec Engineer, d'un Product Security Engineer ou d'un DevSecOps. En entretien, demandez comment le SBOM est produit dans la CI, où il est stocké et ce qui se passe le jour où une CVE critique tombe : un vrai praticien décrit un circuit de bout en bout. Celui qui cite seulement les formats a lu la documentation, pas monté le dispositif.