《自然资源领域软件物料清单（SBOM）应用管理规范》（征求意见稿）

本规范确立了自然资源领域信息系统软件物料清单（SBOM）的全生命周期管理框架，覆盖清单的生成、使用到废止全过程。本规范将软件物料清单生命周期与软件建设周期深度绑定，要求清单随软件同步创建、交付、维护与废止，并明确了供方、需方及监管方在其中的具体职责。通过统一清单元素的标识规范与管理流程，本规范旨在建立可视化的软件供应链知识图谱，强化对组件、依赖关系及来源的精确掌控，为供应链资产管理、风险监测、供应商评估及安全事件应急响应提供标准化的操作依据，最终实现软件供应链全链路可追溯与安全风险可防可控。

生命周期框架与管理目标

本规范构建了生成、使用、废止三阶段递进的生命周期模型。生成阶段涵盖创建、交付与共享，要求软件开发时同步采集组件成分及来源，交付后需方须对清单的完整性、规范性等进行校验，必要时共享至监管方。使用阶段聚焦应用与维护，需方基于清单开展资产台账建设、漏洞与许可证风险分析及供应商安全评估等管理活动，并持续进行版本更新与访问控制。废止阶段则规定软件下线时须同步销毁清单数据。整体目标在于形成可视化供应链图谱，明确组件责任与依赖，实现漏洞快速处置与服务中断风险的有效规避。

分角色的管理要求

本规范严格区分供方、需方与监管方的责任边界。供方须确保交付清单内容的真实性与交付渠道的安全性，并按要求采集和生成商采或自研软件的物料清单。需方则负责校验清单来源的可靠性及数据的一致性，建立统一的清单管理台账，并利用清单开展供应链资产核查与风险排查等应用。监管方主要承担监督职责，定期组织安全检查，统筹协调软件供应链安全管理措施的落实，确保各单位在清单的共享、使用及废止等环节符合国家和行业的监管要求。三方的协同配合是保障清单管理机制有效运行的关键。