# CISA Perbarui Standar SBOM untuk Supply Chain

> CISA merilis panduan SBOM terbaru yang menetapkan standar transparansi supply chain software dan manajemen risiko berbasis data.

**URL:** https://www.ciptadusa.com/blog/cisa-sbom-transparency-update-20260730  
**Type:** blog  
**Author:** PT Cipta Dua Saudara  
**Category:** Keamanan Aplikasi  
**Published:** 2026-07-30  
**Cover:** https://cdn-uagents.enitip.com/uploads/blog/2026-07/daily-appsec-20260730-014606.jpg  

## Article

Dokumen baru dari CISA dan mitra internasional, dirilis 29 Juli 2026, secara diam-diam mengubah ekspektasi terhadap bagaimana organisasi harus mengelola transparansi rantai pasok perangkat lunak mereka.

## Ringkasan

CISA merilis panduan SBOM terbaru bersama mitra internasional yang menetapkan standar baru untuk transparansi komponen software, manajemen risiko, dan pengambilan keputusan berbasis data dalam supply chain security.

## Latar Belakang

Software Bill of Materials (SBOM) bukan konsep baru. Sejak Executive Order 14028 tahun 2021, pemerintah AS mewajibkan vendor federal untuk menyediakan SBOM. Namun adopsi di sektor swasta tetap lambat — survei 2025 menunjukkan hanya 47% organisasi yang secara aktif mengonsumsi SBOM dari vendor mereka.

Masalahnya bukan pada kemauan, melainkan pada utilitas. SBOM generasi pertama sering kali berupa daftar statis yang cepat kedaluwarsa, sulit diproses secara otomatis, dan tidak terintegrasi dengan workflow keamanan yang sudah ada.

## Pendekatan

Panduan terbaru CISA mengatasi tiga kelemahan fundamental ini.

**Format yang machine-readable menjadi mandatory.** Bukan lagi PDF atau spreadsheet — SPDX 3.0 dan CycloneDX 1.6 adalah dua format yang diakui. Keduanya mendukung automated ingestion ke vulnerability scanner dan dependency tracker.

**Lifecycle tracking menggantikan snapshot statis.** SBOM harus di-update setiap kali ada perubahan dependensi, bukan hanya saat rilis. Ini berarti integrasi CI/CD pipeline menjadi prasyarat, bukan nice-to-have.

**Risk scoring terintegrasi.** Setiap komponen dalam SBOM harus bisa di-cross-reference dengan database kerentanan (NVD, OSV) secara otomatis. Panduan baru memberikan framework scoring yang menggabungkan severity, exploitability, dan blast radius.

Bagi tim security di Indonesia yang mengelola aplikasi dengan ratusan dependensi open-source, perubahan ini berarti satu hal: tooling SBOM harus masuk ke pipeline CI/CD sekarang, bukan nanti.

## Referensi

- [CISA and Partners Unveil Updated Software Bill of Materials Resource](https://www.cisa.gov/news-events/news/cisa-and-partners-unveil-updated-software-bill-materials-resource-improves-transparency-security-and) — CISA
- [SPDX 3.0 Specification](https://spdx.github.io/spdx-spec/v3.0/) — Linux Foundation
- [CycloneDX 1.6 Standard](https://cyclonedx.org/) — OWASP

---

*Markdown version of https://www.ciptadusa.com/blog/cisa-sbom-transparency-update-20260730 — generated for AI agents and LLM crawlers.*