O SPDX deu a cada licença de software um ID curto — e se tornou o formato de SBOM da ISO

Por volta de 2010, toda empresa que distribuía software precisava rastrear licenças e componentes, mas cada ferramenta e equipe os grafava de forma diferente — 'Apache 2', 'ASL 2.0', 'Apache-2.0' — de modo que os dados de conformidade não podiam circular entre organizações. O projeto SPDX da Linux Foundation resolveu o problema na camada do identificador: um formato de dados padrão para os componentes e metadados de um pacote, além de uma lista canônica de licenças com um ID curto e estável por licença.

Como os IDs eram estáveis e legíveis por máquina, scanners, auditores e fornecedores podiam trocar listas de materiais de software sem tradução. O SPDX tornou-se o formato de SBOM de fato e passou uma década nesse papel nas cadeias globais de suprimento de software.

Em 24 de agosto de 2021, a especificação foi publicada como ISO/IEC 5962:2021 por meio do ISO/IEC JTC 1. A Linux Foundation enquadrou o marco como uma passagem 'de um padrão de fato da indústria para um padrão formal do ISO/IEC JTC 1', posicionando o SPDX para requisitos internacionais de segurança e integridade de software em toda a cadeia de suprimentos.

Um ID curto canônico por licença, legível por máquina

Grafias ambíguas de licenças, e não disputas jurídicas, eram o que de fato quebrava a conformidade automatizada.

IDs curtos estáveis permitiam que quaisquer duas ferramentas concordassem sobre uma licença sem revisão humana.

Uma década como formato de SBOM de fato significou que o selo da ISO ratificou a prática em vez de inventá-la.

O formato de componente mais metadados atendeu a usos de segurança e cadeia de suprimentos além do licenciamento, ampliando a base de interessados.

A conformidade falha por ambiguidade, não por intenção. Padronizar o identificador — não o texto jurídico — permite que as ferramentas concordem automaticamente, e é isso que transforma uma lista de verificação em um formato da indústria.

A ISO/IEC 5962:2021 tornou o SPDX o padrão aberto internacionalmente reconhecido para listas de materiais de software, justamente quando os governos começaram a exigir SBOMs para compras públicas. A especificação continua a evoluir como um padrão ISO disponível gratuitamente sob a Linux Foundation.