TBOM sta per Trusted Bill of Materials. È un artefatto di sicurezza proposto che va oltre un elenco di componenti software, cercando di registrare non solo cosa è contenuto in un pacchetto, ma anche cosa è stato controllato e quali evidenze supportano tale controllo. In pratica, TBOM è pensato per associare i dati di composizione ai risultati della verifica, come scansioni, controlli delle policy, firme o altre attestazioni.
Questo è importante perché una Software Bill of Materials (SBOM) può mostrare le dipendenze, ma non dimostra che siano state esaminate o convalidate. Gli aggressori sfruttano questa lacuna quando le organizzazioni si fidano del software upstream senza prove sufficienti di provenienza o verifica. Un TBOM mira a rafforzare la sicurezza della supply chain aiutando i difensori a distinguere la semplice visibilità dalla reale garanzia. In un flusso di lavoro difensivo, potrebbe essere usato durante il rilascio, la distribuzione o il riutilizzo per dimostrare che un componente è stato esaminato secondo controlli definiti. L'idea è ancora in evoluzione, quindi il modello dei dati e il flusso di lavoro esatti possono variare tra le implementazioni.