# SBOM คืออะไร? คู่มือ Software Bill of Materials เพื่อความปลอดภัย Supply Chain สำหรับ SME ไทย 2026
ในยุคที่ซอฟต์แวร์สมัยใหม่ประกอบด้วย Open Source Library มากกว่า 80% ของ Codebase ทั้งหมด (อ้างอิงจาก Synopsys OSSRA Report) การโจมตีแบบ Supply Chain Attack อย่าง Log4Shell, SolarWinds และ XZ Utils Backdoor ทำให้ "การรู้ว่ามีอะไรอยู่ในซอฟต์แวร์ของคุณ" กลายเป็นเรื่องสำคัญที่สุด
SBOM หรือ Software Bill of Materials คือคำตอบของปัญหานี้ เปรียบเสมือน "ฉลากโภชนาการ" สำหรับซอฟต์แวร์ที่บอกทุกส่วนประกอบ เวอร์ชัน และ License ที่ใช้งาน ซึ่งกำลังจะกลายเป็นข้อบังคับทางกฎหมายผ่าน EU Cyber Resilience Act (CRA) และ US Executive Order 14028
บทความนี้จะอธิบายตั้งแต่ SBOM คืออะไร รูปแบบมาตรฐาน วิธีสร้าง ไปจนถึงการนำไปใช้จริงสำหรับ SME ไทยที่ต้องการเตรียมพร้อมรับกฎระเบียบและป้องกัน Supply Chain Attack
SBOM คืออะไร? ทำไมถึงสำคัญในปี 2026
SBOM (Software Bill of Materials) คือรายการส่วนประกอบทั้งหมดที่อยู่ในผลิตภัณฑ์ซอฟต์แวร์ ประกอบด้วยข้อมูลของ Library, Framework, Dependencies, License และความสัมพันธ์ของแต่ละ Component ในรูปแบบที่เครื่องอ่านได้ (Machine-readable Format)
องค์ประกอบหลักของ SBOM ตามมาตรฐาน NTIA Minimum Elements:
การมี SBOM ทำให้องค์กรสามารถตอบคำถามสำคัญได้ภายในไม่กี่วินาที เช่น "เรามีช่องโหว่ CVE-2024-XXXX หรือไม่?" แทนที่จะต้องใช้เวลาหลายสัปดาห์ในการตรวจสอบ Codebase ทั้งหมด
ทำไม SBOM จึงกลายเป็นเรื่องบังคับทางกฎหมาย
EU Cyber Resilience Act (CRA)
มีผลบังคับใช้เต็มรูปแบบในปี 2027 แต่ผู้ผลิตต้องเริ่มเตรียมตัวในปี 2026 โดยกำหนดให้ผลิตภัณฑ์ดิจิทัลทุกประเภทที่จำหน่ายใน EU ต้องมี SBOM และต้องแจ้งช่องโหว่ภายใน 24 ชั่วโมง
US Executive Order 14028
กำหนดให้ Software Vendor ที่ขายให้รัฐบาลกลางของสหรัฐฯ ต้องส่ง SBOM พร้อม Attestation
พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ฯ (ไทย)
หน่วยงาน CII (Critical Information Infrastructure) เริ่มเรียกร้อง SBOM เป็นส่วนหนึ่งของการประเมินความเสี่ยง
รูปแบบมาตรฐาน SBOM ที่ควรรู้
| รูปแบบ | ผู้พัฒนา | จุดเด่น | Use Case |
|--------|----------|---------|----------|
| SPDX | Linux Foundation | รองรับ License Compliance ครบถ้วน, ISO/IEC 5962 | องค์กรที่โฟกัส License Management |
| CycloneDX | OWASP | เบา, เน้น Security Use Case, รองรับ VEX | Security Team, DevSecOps |
| SWID Tags | ISO/IEC 19770-2 | ใช้สำหรับ Asset Management | IT Asset Management |
สำหรับ SME ไทยส่วนใหญ่ CycloneDX เป็นตัวเลือกที่แนะนำเพราะมี Tool รองรับแพร่หลาย เบา และเน้น Security ซึ่งตรงกับความต้องการหลัก
วิธีสร้าง SBOM: คู่มือทีละขั้นตอน
ขั้นตอนที่ 1: เลือก SBOM Generator Tool ที่เหมาะสม
ขั้นตอนที่ 2: Integrate เข้ากับ CI/CD Pipeline
```yaml
# ตัวอย่าง GitHub Actions
uses: anchore/sbom-action@v0
with:
format: cyclonedx-json
output-file: sbom.cdx.json
```
ขั้นตอนที่ 3: Scan ช่องโหว่จาก SBOM
ใช้ Tool เช่น Grype, Dependency-Track หรือ Snyk เพื่อ Scan SBOM กับ Vulnerability Database (NVD, OSV.dev)
ขั้นตอนที่ 4: เก็บและจัดการ SBOM ด้วย Dependency-Track
Dependency-Track (OWASP) คือ Platform ฟรีที่ช่วยเก็บ SBOM ทุกเวอร์ชัน แจ้งเตือนช่องโหว่แบบ Real-time และสร้าง Report สำหรับ Audit
ขั้นตอนที่ 5: สร้าง VEX (Vulnerability Exploitability eXchange)
VEX ช่วยระบุว่าช่องโหว่ที่เจอใน SBOM มีผลกระทบจริงหรือไม่ ลด False Positive ที่ทำให้ทีม Security เหนื่อย
เปรียบเทียบ SBOM Tools ยอดนิยม
| Tool | ประเภท | ราคา | รองรับรูปแบบ | จุดแข็ง |
|------|--------|------|-------------|---------|
| Syft + Grype | Open Source | ฟรี | SPDX, CycloneDX | ใช้งานง่าย, Community ใหญ่ |
| Dependency-Track | Open Source | ฟรี (Self-hosted) | CycloneDX | Dashboard ครบ, Alert ดี |
| Snyk | Commercial | $25/user/เดือน | SPDX, CycloneDX | Integration หลากหลาย |
| Sonatype Lifecycle | Enterprise | Quote-based | ทุกรูปแบบ | Policy Engine ที่ทรงพลัง |
| GitHub Dependency Graph | Built-in | ฟรี (Public Repo) | SPDX | Integrate กับ GitHub อัตโนมัติ |
ข้อผิดพลาดที่พบบ่อยและวิธีหลีกเลี่ยง
1. สร้าง SBOM ครั้งเดียวแล้วลืม - SBOM ต้องสร้างใหม่ทุกครั้งที่ Build เพราะ Dependencies เปลี่ยนแปลงตลอด
2. ละเลย Transitive Dependencies - Dependency ของ Dependency มักเป็นจุดอ่อนที่ถูกมองข้าม ตัวอย่าง Log4Shell ที่ไม่มีใครใช้ตรงๆ แต่อยู่ใน Library ย่อย
3. ไม่ Sign SBOM - SBOM ที่ไม่มีลายเซ็นดิจิทัล (เช่น Sigstore/Cosign) อาจถูกปลอมแปลงได้
4. เก็บ SBOM แบบกระจาย - ต้องมี SBOM Repository กลางที่ Auditor และ Security Team เข้าถึงได้
สรุปและก้าวต่อไป
SBOM ไม่ใช่เพียงแค่เอกสารเพิ่มเติม แต่คือรากฐานของ Software Supply Chain Security ในยุค 2026 องค์กรที่เริ่มต้นวันนี้จะได้เปรียบในเรื่อง:
เริ่มต้นง่ายๆ ใน 30 วัน:
1. สัปดาห์ที่ 1-2: ติดตั้ง Syft + Grype ใน Dev Environment
2. สัปดาห์ที่ 3: Integrate เข้า CI/CD และสร้าง SBOM อัตโนมัติ
3. สัปดาห์ที่ 4: Deploy Dependency-Track และเริ่ม Monitor
หากต้องการคำปรึกษาเรื่อง Software Supply Chain Security, DevSecOps Pipeline หรือการเตรียมพร้อม EU CRA Compliance ทีมงาน ADS FIT พร้อมให้คำแนะนำและวาง Roadmap ให้ตรงกับธุรกิจของคุณ — [ติดต่อเรา](https://www.adsfit.co.th/contact)
อ่านเพิ่มเติม: [EU Cyber Resilience Act คืออะไร?](/blog/eu-cyber-resilience-act-cra-compliance-guide-thailand-2026) | [DSPM Data Security](/blog/dspm-data-security-posture-management-guide-sme-thailand-2026)