新聞

歐盟近年透過《網路韌性法》（CRA）及NIS2指令，分別提高數位產品及組織供應鏈的資安管理要求。開放原始碼安全基金會（OpenSSF）與OpenChain專案共同提出軟體供應鏈安全指引，建議企業建立內部管理流程，並在軟體開發及維護過程中落實安全措施，包括管理軟體元件、處理漏洞及保存安全佐證資料，以回應客戶審查及相關法規要求。

這份指引結合OpenChain的組織管理標準與OpenSSF的軟體安全技術。OpenChain著重開源軟體授權遵循及安全保證，協助企業訂定管理政策、明確分工，並保存執行紀錄；OpenSSF則提供涵蓋安全程式開發、軟體來源追溯、建置完整性及漏洞管理的技術指引與工具。

軟體產品往往包含企業自行開發的程式碼、開源套件及其他第三方元件，一旦其中某個元件被發現有漏洞，企業就需要確認哪些產品受到影響。企業可參考OpenChain相關標準建立盤點流程，並利用OpenSSF相關工具建立及維護軟體物料清單（SBOM），掌握產品使用的軟體元件及其相依關係。OpenSSF旗下的開源軟體供應鏈分析專案GUAC則可整合軟體元件的來源、相依關係及漏洞資訊，供企業追查元件與漏洞之間的關聯。

除了管理軟體元件及漏洞，企業還需要保存安全措施的執行紀錄。OpenChain與OpenSSF建議企業持續保存管理政策、審查紀錄、SBOM、軟體來源與建置紀錄，以及漏洞處理結果，以便在客戶審查或法規稽核時提供佐證。部分資料也可採用機器可讀格式，方便不同系統交換及使用。這些佐證資料還應註明對應的軟體版本、時間及審查項目，讓客戶或稽核單位確認資料是否符合查核需求。

對於產品進入歐盟市場的臺灣軟體及設備供應商，這份指引可作為檢查既有供應鏈安全管理措施的參考，並協助企業評估可能適用的歐盟法規。不過，採用相關管理標準及技術工具，不代表企業已符合CRA或NIS2，仍須依實際適用的法規要求進行評估。