Sectigo 網誌
企業為何應立即着手建立加密物料清單（CBOM）
加密物料清單（CBOM）可為企業提供結構化、附帶上下文的加密資產清單，涵蓋密鑰、算法、數碼證書等內容。它並非簡單的資產列表，而是透過展示加密技術支撐業務營運的方式與漏洞所在位置，提升可見性、治理能力與風險管理水平。隨着量子計算發展、算法淘汰進程推進以及合規壓力提升，CBOM 配合自動化能力可幫助機構構建加密敏捷性，加快事件回應速度，並為後量子安全做好準備。
加密技術可保護身份、保障數據安全並建立信任，是現代企業安全的關鍵工具。但儘管加密技術應用廣泛，其落地實施往往不均衡、缺乏條理，導致防護存在缺口，常常無法充分發揮作用。
可見性不足 進一步加劇了這些挑戰，讓企業難以辨別當前在用的加密方案，也無法判斷這些方案是否有效。儘管 證書生命週期管理（CLM） 等解決方案能夠提升特定加密要素的可見性，但通常仍需要額外的監控或監管措施。
加密物料清單（CBOM）可為全鏈路加密策略提供結構化框架與監管能力，從而解決上述問題。它不僅能夠幫助企業識別加密資產的存在情況與具體位置，還可詳細披露防護缺口或漏洞。CBOM 並非單純的列表，還可提供上下文資訊，支撐企業內部實現一致的治理與科學決策。
什麼是 CBOM？
加密物料清單是一份全面的資產清單，詳細記錄軟件或系統中使用的所有加密要素。CBOM 旨在幫助機構識別並應對加密風險，可披露加密資產（如加密密鑰、算法、數碼證書）的所在位置與使用方式。它並非靜態清單，還可提供上下文資訊，說明每個加密要素的用途及相關依賴關係。
Sectigo 的 Tim Callan 指出，CBOM 可幫助機構解答關鍵的加密相關問題：「我們正在使用哪些加密技術，以及我們是如何使用這些技術的？」
不應將 CBOM 與軟件物料清單（SBOM）混淆，美國網絡安全和基礎設施安全局（CISA） 將 SBOM 描述為「軟件安全與軟件供應鏈風險管理的關鍵組成部分」，可提供「嵌套式清單」，詳細記錄各類軟件組件。美國國家標準與技術研究院（NIST）將其類比為「包裝上的食品成分標籤」。
CBOM 具備類似功能，但聚焦於負責保障軟件方案安全的加密組件。這類針對性的清單十分必要，因為當前安全實踐中普遍存在盲點，許多 IT 負責人難以全面掌握（或及時跟進）加密資產情況。
為何 CBOM 不僅僅是一份清單
CBOM 的價值不僅在於其涵蓋的內容，更在於它對這些要素的描述方式，以及各項加密資產如何融入加密韌性的全局布局。CBOM 應當同時描述現行解決方案以及未來的風險或機遇，基於加密敏捷性業務目標與量子就緒狀況對加密資產進行情境化梳理。
Sectigo 的 Tim Callan 解釋，理想的 CBOM 應當釐清：當前的加密環境是否「符合其用途」，如果不符合，需要採取哪些措施才能使其適配。這份資料應當採用全局視角，跳出「包含哪些資產」的局限，說明這些加密方案如何應對風險或漏洞（例如算法被棄用的可能性）、如何提升就緒度（例如為回應監管變更開展密鑰輪換），以及如何帶來業務影響。
Sectigo 的 Jason Soroko 建議我們將這一概念重新定義為「情境化 CBOM」。其至少應當包含對當前加密資產的合理性說明，解釋這些資產為何必要，同時明確其存在的風險，以及在必要時如何更新或替換。此外，CBOM 還應當記錄以下內容：
- 營運依賴關係. CBOM 應當說明加密資產與各類業務流程、系統之間的關聯關係，明確哪些設備、服務或 API 依賴特定的密鑰、數碼證書或算法。這類背景資訊提醒我們，加密資產並非獨立運作。
- 系統關鍵程度. 關鍵程度指的是每項加密方案對企業整體安全態勢的重要性。CBOM 可協助團隊確定哪些加密要素支撐著關鍵任務系統，從而同時提升安全性與營運連續性。
- 加密失效的風險敞口. 完善的 CBOM 不會只涵蓋最佳場景，還會揭示不利情況發生時可能出現的後果，以及企業最脆弱的環節所在。當中可詳細說明，當加密方案失效時，可能引發的大規模數碼證書故障、合規違規或信任體系崩潰等問題。
- 升級或遷移就緒度. 部分加密資產的適應性優於其他資產，在快速的數碼變革中，明確需要開展哪些工作才能在不中斷現有營運或工作流的前提下更新或替換加密方案至關重要。這份物料清單應當明確可能阻礙或延遲升級的障礙，尤其是在量子技術進步或算法被棄用的場景下。
它對網絡安全及未來就緒度的支撐作用
CBOM 可以直接優化企業級加密策略，為綜合安全解決方案提供廣泛支撐，甚至實現面向未來的防護能力，協助機構為未來的安全挑戰做好準備。
其優勢包括：
- 提升可見性。CBOM 將發現的資產整合為結構化清單，清晰呈現加密資產的使用位置與方式，減少環境中的盲點，從而提升加密資產可見性。更重要的是，它還將加密資產與相關應用、服務及流程關聯起來，展現加密防護與整體安全態勢相關的全局視圖。
- 強化治理能力。它提供所需的結構化資產清單，支援跨團隊、跨部門及跨數碼環境執行嚴格的安全策略，可提升審計就緒度，確保加密實踐不僅合規，還具備完整的記錄文檔。
- 改善事件回應與修復效率。發生數碼證書過期、密鑰泄露等安全事件時，CBOM可協助快速識別並處置受影響的系統，從而縮短回應時間。
- 為後量子時代的技術變遷做好準備。加密物料清單可支援量子就緒，其會明確標註未來可能易受量子攻擊的加密算法與密鑰。這些洞察可協助企業提升加密敏捷性，為最終落實抗量子算法的遷移工作提供指引。鑒於大規模量子計算有望落地將在未來數年內實現，企業現在就應當採取相關措施，保障向抗量子加密體系的平滑遷移。
如何構建CBOM？
CBOM構建工作的第一步，是明確負責各類加密資產盤點與管理的責任主體。所選定的團隊或專業人員不僅需要具備加密技術專業能力，還需要深入了解企業自身的安全策略。
在此之後，CBOM的開發與落地流程需結合企業具體的資產情況與現有資源開展。但總體而言，該流程包含以下幾個核心步驟：
- 發現加密資產。只有先掌握加密資產的存在，才能對其進行有效理解與管理。該工作在發現階段完成，覆蓋範圍應包含企業所有相關系統、應用及設備。只有識別出每一個算法、密鑰與數碼證書，才能實現完整的資產可見性。
- 對所有組件進行編目。發現相關組件後，應將其錄入集中化、結構化的統一可信數據源中。除了記錄算法、密鑰與數碼證書之外，該清單還需明確標註密鑰長度、過期時間、用途等核心資訊。
- 補充上下文資訊。需要注意的是，CBOM並非簡單的列表。應當透過支援資訊豐富這份資料的內容，明確資產的依賴關係、重要等級，以及資產失效可能帶來的影響。
- 評估未來風險。梳理當前加密資產可能存在的不足，以及近期可能出現的相關挑戰。例如，對於量子威脅，最佳應對方案是部署升級後的抗量子或混合模式數碼證書，同時使用自動化證書生命週期管理系統.
- 維護CBOM。CBOM並非靜態資源，必須隨加密資產及其所應對的威脅、挑戰同步更新。維護工作包括：在新組件部署時及時將其納入清單，詳細記錄密鑰或證書的變更情況，以及移除不再使用的資產。
Sectigo如何助力CBOM落地營運
CBOM能為企業提供其加密資產全景亟需的可見性，但只有搭配可保障資產清單準確、實時、可落地的自動化能力，才能發揮其最大價值。對大多數企業而言，這項工作可從支撐絕大多數數碼信任關係的核心加密資產——數碼證書——開始推進。
Sectigo Certificate Manager（SCM）為企業提供統一平台，可發現、監控並自動化管理全企業範圍內所有數碼證書的完整生命週期，幫助企業從被動的證書清單管理轉向主動的密碼韌性建設。借助集中可視化能力與標準化工作流，SCM可將CBOM（密碼物料清單）洞察轉化為持續的營運優勢，確保密碼資產始終可信、合規，且與業務需求保持一致。
但落地CBOM僅是挑戰的一半。當企業在CBOM中排查出弱密鑰、已淘汰算法、配置錯誤或已洩露證書時，還需在其影響業務連續性之前快速修復這些密碼缺陷。SCM透過以下能力加速修復流程：
- 識別弱密碼資產或不合規密碼資產，包括存在漏洞的算法、長度不足的密鑰，或由不受信任的證書頒發機構（CA）簽發的證書
- 自動化密鑰與證書輪換，以在無業務停機的前提下替換存在風險的資產
- 即時替換已洩露或存在嫌疑的證書，透過無縫工作流恢復依賴系統間的信任關係
- 將資產遷移至更高安全等級的標準，例如抗量子證書或混合證書，支撐長期的密碼敏捷性
- 落實治理與策略合規要求，確保所有更新後的資產符合企業安全要求
這種自動化修復能力可直接對接Sectigo的QUANT戰略，這是一套透過主動評估、遷移規劃、採用抗量子技術，引導企業進入後量子時代的整體框架。QUANT旨在幫助企業應對各類主要新興風險，包括「先收集、後解密」威脅，以及有效期可能延伸至量子時代的長期數碼簽名所存在的漏洞。
結合CBOM洞察，Sectigo的QUANT戰略可幫助企業：
- 精準定位易受未來量子攻擊的密碼資產
- 優先修復長期有效的密鑰與簽名——這類資產需要在遠超當前密碼體系有效期的時間範圍內保持安全
- 驗證後量子證書與混合證書策略，可透過Sectigo PQC Labs（用於測試抗量子資產的專用環境）開展
- 構建具備密碼敏捷性的營運流程，提前適配NIST計劃於2030–2035年實施的淘汰與替換時間線
總體而言，SCM、CBOM與QUANT戰略共同構成了完整、具備前瞻性的密碼韌性生態，不僅幫助企業掌握當前的密碼安全態勢，還能在威脅演變、量子時代臨近的過程中持續強化自身安全能力。您可進一步了解SCM，或立即預約演示.