Apa Itu SBOM (Software Bill of Materials)? Panduan 2026

Akhir 2021, dunia IT dikejutkan oleh satu celah keamanan kecil bernama Log4Shell yang bersembunyi di dalam Log4j, sebuah library logging yang dipakai oleh jutaan aplikasi Java di seluruh dunia. Banyak perusahaan baru sadar mereka terdampak setelah berhari-hari, karena mereka sendiri tidak tahu persis komponen apa saja yang ada di dalam software mereka. Insiden inilah yang mempercepat popularitas satu konsep: SBOM (Software Bill of Materials).

Di 2026, SBOM bukan lagi sekadar istilah teknis di kalangan developer. Ia mulai menjadi syarat wajib di berbagai regulasi keamanan siber dunia. Artikel ini akan membahas apa itu SBOM, kenapa penting, dan apa yang perlu disiapkan bisnis Anda.

Penting: Jangan Tertukar dengan “Bill of Materials” Manufaktur

Sebelum lanjut, perlu diluruskan satu kesalahpahaman yang sering muncul di pencarian Indonesia. Istilah “Bill of Materials” atau BOM juga dipakai di dunia manufaktur untuk mencatat daftar bahan baku dan komponen fisik yang dibutuhkan memproduksi suatu barang.

SBOM yang dibahas di artikel ini adalah konteks yang berbeda, yaitu Software Bill of Materials, sebuah daftar komponen digital (bukan bahan baku fisik) yang menyusun sebuah aplikasi atau sistem software.

Apa Itu SBOM?

SBOM adalah daftar inventaris terperinci yang mencatat setiap komponen, library, dan dependency yang menyusun sebuah aplikasi atau sistem software. Cara paling mudah membayangkannya adalah seperti label komposisi pada kemasan makanan, hanya saja isinya bukan bahan makanan, melainkan komponen kode.

Aplikasi modern jarang sekali dibangun murni dari nol. Sebagian besar disusun dari puluhan bahkan ratusan komponen open-source dan pihak ketiga, masing-masing punya riwayat pengembangan dan potensi celah keamanan sendiri-sendiri. Tanpa daftar yang jelas, tim keamanan harus menyelidiki manual satu per satu setiap kali muncul kerentanan baru pada salah satu komponen tersebut, sesuatu yang nyaris mustahil dilakukan cepat pada aplikasi skala besar.

Apa Saja yang Tercantum dalam SBOM?

Sebuah SBOM yang baik biasanya mencantumkan:

• Nama komponen dan versinya
• Vendor atau sumber komponen (misalnya proyek open-source tertentu)
• Informasi lisensi
• Hubungan antar-dependency (komponen apa bergantung pada komponen apa)
• Hash kriptografi untuk memverifikasi keaslian komponen

Format Standar yang Dipakai

Supaya SBOM bisa dibaca otomatis oleh berbagai tools keamanan, industri sepakat menggunakan format standar. Dua yang paling umum dipakai adalah:

• SPDX (Software Package Data Exchange) — awalnya dikembangkan Linux Foundation
• CycloneDX — dikembangkan komunitas OWASP, populer untuk kebutuhan analisis keamanan aplikasi

Kedua format ini bersifat machine-readable, artinya bisa dibaca dan diproses otomatis oleh tools pemindai kerentanan, bukan cuma dokumen statis untuk dibaca manusia.

Kenapa SBOM Makin Wajib di 2026

Selama bertahun-tahun, SBOM sifatnya opsional dan hanya dianggap praktik baik. Situasinya berubah cepat belakangan ini:

Amerika Serikat. CISA bersama NSA, FBI, dan sejumlah lembaga keamanan siber internasional merilis pembaruan panduan 2026 Minimum Elements for a Software Bill of Materials, menggantikan panduan lama dari NTIA tahun 2021. Panduan ini menetapkan standar minimum informasi apa saja yang wajib ada dalam sebuah SBOM.

Uni Eropa. Ini yang paling mendesak: lewat regulasi Cyber Resilience Act (CRA), Uni Eropa mewajibkan setiap produk yang mengandung elemen digital dan dijual di pasar Eropa untuk memiliki SBOM machine-readable yang mencakup minimal dependency tingkat atas. Kewajiban pelaporan kerentanan yang sedang dieksploitasi aktif mulai berlaku 11 September 2026, sementara kepatuhan penuh (termasuk CE-marking) berlaku sepenuhnya pada 11 Desember 2027. Poin pentingnya: perusahaan tidak mungkin memenuhi kewajiban pelaporan 24 jam tanpa lebih dulu tahu persis komponen apa saja yang ada di dalam softwarenya, jadi kesiapan SBOM sebenarnya sudah harus jalan jauh sebelum tenggat resmi 2027.

Tren regulasi ini menunjukkan arah yang sama: SBOM bergeser dari “nice to have” menjadi fondasi wajib untuk keamanan rantai pasok software (software supply chain security).

Manfaat SBOM untuk Bisnis

• Deteksi cepat saat ada kerentanan baru. Ketika sebuah library open-source ditemukan bermasalah, perusahaan dengan SBOM yang akurat bisa langsung mengecek apakah komponen tersebut dipakai, tanpa perlu investigasi manual berhari-hari.
• Kepatuhan regulasi. Terutama untuk bisnis yang menjual produk atau layanan ke pasar Eropa, atau ke lembaga pemerintah AS.
• Transparansi rantai pasok. Klien atau mitra bisnis semakin sering meminta bukti bahwa software yang mereka pakai aman dan terkelola dengan baik.
• Manajemen lisensi lebih rapi. SBOM juga membantu memastikan komponen open-source yang dipakai sesuai dengan ketentuan lisensinya masing-masing.

Apakah Bisnis Kecil Juga Perlu SBOM?

Bukan cuma perusahaan besar atau vendor software enterprise yang perlu peduli. Bisnis kecil dan menengah yang menjalankan website berbasis CMS seperti WordPress, misalnya, juga menggunakan banyak plugin dan library pihak ketiga. Setiap plugin itu pada dasarnya adalah “komponen” yang idealnya juga diinventarisasi, apalagi mengingat serangan supply chain lewat plugin bajakan atau plugin populer yang disusupi kode berbahaya semakin sering terjadi.

Tidak semua bisnis kecil perlu SBOM formal sesuai standar regulasi internasional, tapi kebiasaan mencatat dan memantau komponen apa saja yang dipakai di website atau aplikasi tetap jadi praktik keamanan dasar yang bernilai.

Cara Memulai

Membuat SBOM secara manual untuk aplikasi modern nyaris tidak mungkin dilakukan karena jumlah dependency yang bisa mencapai ratusan. Untungnya sudah tersedia banyak tools open-source yang bisa men-generate SBOM secara otomatis dari kode sumber, container image, atau paket aplikasi, lalu mengeluarkannya dalam format SPDX atau CycloneDX yang siap dipakai untuk analisis keamanan lebih lanjut.

Kesimpulan

SBOM pada dasarnya adalah jawaban atas pertanyaan sederhana namun krusial: sebenarnya, apa saja isi software yang saya pakai? Pertanyaan yang terdengar mendasar ini justru sering tidak terjawab, sampai sebuah kerentanan besar seperti Log4Shell memaksa banyak organisasi menyadari betapa minimnya visibilitas mereka terhadap komponen software sendiri.

Dengan regulasi seperti EU Cyber Resilience Act mulai menuntut kepatuhan bertahap sepanjang 2026-2027, dan panduan CISA yang terus diperbarui, SBOM kini bergerak dari sekadar rekomendasi keamanan menjadi kebutuhan operasional yang nyata bagi siapa pun yang membangun atau mengelola software.

Ingin mempelajari lebih banyak seputar web development, cloud computing, keamanan siber, server, hingga berbagai tren teknologi terbaru? Kunjungi blog Hosteko untuk mendapatkan artikel yang informatif, mudah dipahami, dan selalu diperbarui mengikuti perkembangan dunia digital.

Jangan lewatkan berbagai panduan, tips, serta tutorial yang dapat membantu Anda mengembangkan website, meningkatkan performa bisnis online, dan memperluas wawasan di bidang teknologi. Temukan artikel menarik lainnya hanya di Hosteko Blog dan terus ikuti informasi terbaru untuk mendukung perjalanan digital Anda.