[논문 리뷰] An Empirical Study on Software Bill of Materials: Where We Stand and the Road Ahead

Boming Xia, Tingting Bi외 3명|arXiv (Cornell University)|2023. 01. 13.

Software Engineering Techniques and Practices인용 수 5

한 줄 요약

이 사례 기반 연구는 15개국에서 실시한 17명의 인터뷰와 65명의 설문 조사로 구성된 혼합 방법 연구를 통해 소프트웨어 부품 목록(SBOM) 도입에 대한 실무자들의 인식을 조사한다. 연구는 표준화, 개인정보 보호, 도구의 무결성과 같은 핵심 과제를 특정하며, 목표 모델을 제안하고 AI/소프트웨어 공급망 보안 분야에서 중요한 미래 방향으로 AIBOM을 강조한다.

ABSTRACT

The rapid growth of software supply chain attacks has attracted considerable attention to software bill of materials (SBOM). SBOMs are a crucial building block to ensure the transparency of software supply chains that helps improve software supply chain security. Although there are significant efforts from academia and industry to facilitate SBOM development, it is still unclear how practitioners perceive SBOMs and what are the challenges of adopting SBOMs in practice. Furthermore, existing SBOM-related studies tend to be ad-hoc and lack software engineering focuses. To bridge this gap, we conducted the first empirical study to interview and survey SBOM practitioners. We applied a mixed qualitative and quantitative method for gathering data from 17 interviewees and 65 survey respondents from 15 countries across five continents to understand how practitioners perceive the SBOM field. We summarized 26 statements and grouped them into three topics on SBOM's states of practice. Based on the study results, we derived a goal model and highlighted future directions where practitioners can put in their effort.

연구 동기 및 목표

• 기존 산업 보고서의 격차를 메우기 위해 실무자들의 시각에서 현재 SBOM 실무의 상태를 이해하는 것.
• 사용자 친화성, 가용성, 무결성 과제를 포함한 SBOM 도구화에 대한 실무자들의 인식을 조사하는 것.
• 표준화 부족, 데이터 개인정보 보호, 산업의 약속 부족과 같은 SBOM 도입에 있어 가장 긴급한 우려 사항을 특정하는 것.
• 특히 AI/기계학습(AIBOM) 분야에서의 운영화를 위한 목표 모델과 향후 연구 방향을 제안하는 것.

제안 방법

• 17명의 SBOM 실무자와의 깊이 있는 반구조적 인터뷰와 15개국에서 온 65명의 응답자 대상 정량적 설문 조사로 구성된 혼합 방법 연구를 수행했다.
• qualitative coding를 통해 인터뷰 데이터에서 26개의 대표적 진술을 추출하였으며, 이를 설문 조사로 검증하고 정량화하였다.
• SBOM 실무, 도구 지원, 실무자 우려 사항의 세 가지 핵심 주제로 분류하여 세계적 시각에서 주제 분석을 수행했다.
• 실무자 기대와 과제를 기반으로 한 목표 모델을 개발하여 향후 SBOM 표준화 및 구현을 안내하는 데 목적이 있다.
• 2022년 SBOM 준비도 보고서와 비교하여 초점, 방법론, 범위의 차이점을 규명하였으며, 특히 소프트웨어 공학적 시각을 강조했다.
• evolving 소프트웨어 공급망 수요를 반영하여 AIBOM(AI/ML 전용 SBOM)와 SBOM 내 개인정보 보호와 같은 새로운 문제를 통합하였다.

실험 결과

연구 질문

• RQ1 SBOM 생성, 배포, 검증, 취약점 관리 측면에서 현재의 SBOM 실무 상태는 어떠한가?
• RQ2 사용자 친화성, 가용성, 무결성과 같은 측면에서 실무자 시각에서의 현재 SBOM 도구 지원 상태는 어떠한가?
• RQ3 SBOM 도입에 있어 실무자들이 가장 우려하는 사항은 무엇인가? 특히 표준화, 개인정보 보호, 산업의 약속 부족에 대해.
• RQ4 실무자들은 AI 및 기계학습(AIBOM) 맥락에서 SBOM의 가치와 향후 방향성에 대해 어떻게 평가하는가?

주요 결과

• 설문 조사한 기관의 90%가 SBOM 도입을 시작했거나 계획 중이며, 그 중 54%는 이미 SBOM을 구현하고 있어 산업 전반의 강력한 추진력을 보이고 있다.
• 높은 준비도에도 불구하고, 40%의 실무자들이 장기적인 산업적 약속에 대해 확신이 없으며, 39%는 표준화된 데이터 필드에 대한 공감대 형성이 필요하다고 밝혔다.
• 실무자들은 SBOM 도구의 必要성은 확인하지만, 가용성, 사용자 친화성, 무결성 측면에서 제한을 경험하며, 개인정보 보호와 SBOM의 정확성에 대한 우려를 제기하고 있다.
• 주요 우려 사항은 표준 SBOM 형식의 확장성 부족으로, 이는 변화하는 소프트웨어 구성요소와 AI/ML 시스템에 대한 적응 능력을 저해한다.
• 실무자들은 더 나은 교육과 도입 지원의 필요성을 강조하며, 응답자의 66%가 지식 부족을 SBOM 사용의 장벽으로 지적했다.
• 본 연구는 AIBOM(AI/ML 전용 SBOM)를 중요한 미래 방향으로 특정하며, 코드, 데이터, 모델, 구성 설정이 SBOM 내에서 공진화되어야 한다고 강조한다.