企业为何应立即着手建立加密物料清单（CBOM）

加密技术可保护身份、保障数据安全并建立信任，是现代企业安全的关键工具。但尽管加密技术应用广泛，其落地实施往往不均衡、缺乏条理，导致防护存在缺口，常常无法充分发挥作用。

可见性不足 进一步加剧了这些挑战，让企业难以辨别当前在用的加密方案，也无法判断这些方案是否有效。尽管 证书生命周期管理（CLM） 等解决方案能够提升特定加密要素的可见性，但通常仍需要额外的监控或监管措施。

加密物料清单（CBOM）可为全链路加密策略提供结构化框架与监管能力，从而解决上述问题。它不仅能够帮助企业识别加密资产的存在情况与具体位置，还能详细披露防护缺口或漏洞。CBOM 并非单纯的列表，还可提供上下文信息，支撑企业内部实现一致的治理与科学决策。

什么是 CBOM？

加密物料清单是一份全面的资产清单，详细记录软件或系统中使用的所有加密要素。CBOM 旨在帮助组织识别并应对加密风险，可披露加密资产（如加密密钥、算法、数字证书）的所在位置与使用方式。它并非静态清单，还可提供上下文信息，说明每个加密要素的用途及相关依赖关系。

Sectigo 的 Tim Callan 指出，CBOM 可帮助组织解答关键的加密相关问题：“我们正在使用哪些加密技术，以及我们是如何使用这些技术的？”

不应将 CBOM 与软件物料清单（SBOM）混淆，美国网络安全和基础设施安全局（CISA） 将 SBOM 描述为“软件安全与软件供应链风险管理的关键组成部分”，可提供“嵌套式清单”，详细记录各类软件组件。美国国家标准与技术研究院（NIST）将其类比为“包装上的食品成分标签”。

CBOM 具备类似功能，但聚焦于负责保障软件方案安全的加密组件。这类针对性的清单十分必要，因为当前安全实践中普遍存在盲点，许多 IT 负责人难以全面掌握（或及时跟进）加密资产情况。

为何 CBOM 不止是一份清单

CBOM 的价值不仅在于其包含的内容，更在于它对这些要素的描述方式，以及明细加密资产如何融入加密韧性的全局。CBOM 应当同时描述当前的解决方案以及未来的风险或机遇，基于加密敏捷性目标和量子就绪情况对加密资产进行背景化梳理。

Sectigo 的 Tim Callan 解释道，理想的 CBOM 应当明确：当前的加密环境是否“适用其用途”，如果不适用，需要采取哪些措施才能使其适用。这份资料应当采用全局视角，跳出“包含哪些资产”的局限，说明这些加密方案如何应对风险或漏洞（例如算法被弃用的可能性）、如何提升就绪度（例如为响应监管变化开展密钥轮换），以及如何产生业务影响。

Sectigo 的 Jason Soroko 建议我们将这一概念重新定义为“情境化 CBOM”。其至少应当包含对当前加密资产的合理性说明，解释这些资产为何必要，同时明确其存在的风险，以及在必要时如何更新或替换。此外，CBOM 还应当记录以下内容：

• 运营依赖关系. CBOM 应当说明加密资产与各类业务流程、系统之间的关联关系，明确哪些设备、服务或 API 依赖特定的密钥、证书或算法。这种背景信息提醒我们，加密资产并非独立运行。
• 系统关键程度. 关键程度指的是每项加密方案对企业整体安全态势的重要性。CBOM 可帮助团队确定哪些加密要素支撑着关键任务系统，从而同时提升安全性和运营连续性。
• 加密失效的风险敞口. 完善的 CBOM 不会仅覆盖最佳场景，还会揭示不利情况发生时可能出现的后果，以及企业最脆弱的环节所在。其中可以详细说明，当加密方案失效时，可能引发的大规模证书故障、合规违规或信任体系崩溃等问题。
• 升级或迁移就绪度. 部分加密资产的适应性优于其他资产，在快速的数字化变革中，明确需要开展哪些工作才能在不中断现有运营或工作流的前提下更新或替换加密方案至关重要。这份物料清单应当明确可能阻碍或延迟升级的障碍，尤其是在量子技术进步或算法被弃用的场景下。

它对网络安全和未来就绪度的支撑作用

CBOM 可以直接改进企业级加密策略，为综合性安全解决方案提供广泛支撑，甚至实现面向未来的防护能力，帮助组织为未来的安全挑战做好准备。

其优势包括：

• 提升可见性。CBOM 将发现的资产整合为结构化清单，清晰呈现加密资产的使用位置和方式，减少环境中的盲点，从而提升加密资产可见性。更重要的是，它还将加密资产与相关应用、服务和流程关联起来，展现加密防护与整体安全态势相关的全局视图。
• 强化治理能力。它提供所需的结构化资产清单，支持跨团队、跨部门及跨数字环境执行严格的安全策略，可提升审计就绪度，确保加密实践不仅合规，还具备完整的记录文档。
• 改善事件响应与修复效率。发生证书过期、密钥泄露等安全事件时，CBOM可帮助快速识别并处置受影响的系统，从而缩短响应时间。
• 为后量子时代的技术变迁做好准备。加密物料清单可支持量子就绪，其会明确标注未来可能易受量子攻击的加密算法与密钥。这些洞察可帮助企业提升加密敏捷性，为最终落地抗量子算法的迁移工作提供指引。鉴于大规模量子计算有望落地将在未来几年内实现，企业现在就应当采取相关措施，保障向抗量子加密体系的平滑迁移。

如何构建CBOM？

CBOM构建工作的第一步，是明确负责各类加密资产盘点与管理的责任主体。所选定的团队或专业人员不仅需要具备加密技术专业能力，还需要深入了解企业自身的安全策略。

在此之后，CBOM的开发与落地流程需结合企业具体的资产情况与现有资源开展。但总体而言，该流程包含以下几个核心步骤：

• 发现加密资产。只有先掌握加密资产的存在，才能对其进行有效理解与管理。该工作在发现阶段完成，覆盖范围应包含企业所有相关系统、应用及设备。只有识别出每一个算法、密钥与证书，才能实现完整的资产可见性。
• 对所有组件进行编目。发现相关组件后，应将其录入集中化、结构化的统一可信数据源中。除了记录算法、密钥与数字证书之外，该清单还需明确标注密钥长度、过期时间、用途等核心信息。
• 补充上下文信息。需要注意的是，CBOM并非简单的列表。应当通过支撑信息丰富这份资料的内容，明确资产的依赖关系、重要等级，以及资产失效可能带来的影响。
• 评估未来风险。梳理当前加密资产可能存在的不足，以及近期可能出现的相关挑战。例如，对于量子威胁，最佳应对方案是部署升级后的抗量子或混合模式数字证书，同时使用自动化证书生命周期管理系统.
• 维护CBOM。CBOM并非静态资源，必须随加密资产及其所应对的威胁、挑战同步更新。维护工作包括：在新组件部署时及时将其纳入清单，详细记录密钥或证书的变更情况，以及移除不再使用的资产。

Sectigo如何助力CBOM落地运营

CBOM能为企业提供其加密资产全景亟需的可见性，但只有搭配可保障资产清单准确、实时、可落地的自动化能力，才能发挥其最大价值。对大多数企业而言，这项工作可从支撑绝大多数数字信任关系的核心加密资产——数字证书——开始推进。

Sectigo Certificate Manager（SCM）为企业提供统一平台，可发现、监控并自动化管理全企业范围内所有数字证书的完整生命周期，帮助企业从被动的证书清单管理转向主动的密码韧性建设。借助集中可视化能力与标准化工作流，SCM可将CBOM（密码物料清单）洞察转化为持续的运营优势，确保密码资产始终可信、合规，且与业务需求保持一致。

但落地CBOM仅是挑战的一半。当企业在CBOM中排查出弱密钥、已淘汰算法、配置错误或已泄露证书时，还需在其影响业务连续性之前快速修复这些密码缺陷。SCM通过以下能力加速修复流程：

• 识别弱密码资产或不合规密码资产，包括存在漏洞的算法、长度不足的密钥，或由不受信任的证书颁发机构（CA）签发的证书
• 自动化密钥与证书轮换，以在无业务停机的前提下替换存在风险的资产
• 即时替换已泄露或存在嫌疑的证书，通过无缝工作流恢复依赖系统间的信任关系
• 将资产迁移至更高安全等级的标准，例如抗量子证书或混合证书，支撑长期的密码敏捷性
• 落实治理与策略合规要求，确保所有更新后的资产符合企业安全要求

这种自动化修复能力可直接对接Sectigo的QUANT战略，这是一套通过主动评估、迁移规划、采用抗量子技术，引导企业进入后量子时代的整体框架。QUANT旨在帮助企业应对各类主要新兴风险，包括“先收集、后解密”威胁，以及有效期可能延伸至量子时代的长期数字签名所存在的漏洞。

结合CBOM洞察，Sectigo的QUANT战略可帮助企业：

• 精准定位易受未来量子攻击的密码资产
• 优先修复长期有效的密钥与签名——这类资产需要在远超当前密码体系有效期的时间范围内保持安全
• 验证后量子证书与混合证书策略，可通过Sectigo PQC Labs（用于测试抗量子资产的专用环境）开展
• 构建具备密码敏捷性的运营流程，提前适配NIST计划于2030–2035年实施的淘汰与替换时间线

总体而言，SCM、CBOM与QUANT战略共同构成了完整、具备前瞻性的密码韧性生态，不仅帮助企业掌握当前的密码安全态势，还能在威胁演变、量子时代临近的过程中持续强化自身安全能力。您可进一步了解SCM，或立即预约演示.

相关文章：

弥合差距：证书生命周期管理中可见性不完整的风险

证书生命周期管理（CLM）最佳实践

“先截获、后解密”攻击与量子威胁