# SLSA Framework คืออะไร? คู่มือ Software Supply Chain Security & SBOM สำหรับ SME ไทย 2026
หลังเหตุการณ์ Log4Shell และ XZ Utils Backdoor ที่สั่นสะเทือนวงการ Open Source โลก ทุกองค์กรเริ่มตระหนักว่า "Software Supply Chain Attack" ไม่ใช่เรื่องไกลตัว เพราะแอปพลิเคชันสมัยใหม่พึ่งพา Library ภายนอกหลายร้อยตัว และเพียง Library เดียวถูกฝัง Backdoor ก็สามารถส่งผลต่อระบบ Production ของหลายล้านองค์กรได้ทันที
SLSA (Supply-chain Levels for Software Artifacts) ออกเสียงว่า "ซัลซ่า" คือ Framework ที่ Google ริเริ่มและส่งต่อให้ Open Source Security Foundation (OpenSSF) ดูแลในปี 2026 เป็นมาตรฐานที่ผู้ผลิตซอฟต์แวร์ทั่วโลกใช้พิสูจน์ว่า Build Pipeline ของตนปลอดภัยและตรวจสอบย้อนกลับได้
ในบทความนี้คุณจะรู้จัก SLSA แต่ละ Level ความสัมพันธ์กับ SBOM และวิธีนำมาใช้กับทีม DevOps ของ SME ไทยเพื่อรองรับ EU Cyber Resilience Act ที่จะบังคับใช้ในต้นปี 2027
SLSA คืออะไรและเกิดมาเพราะอะไร
SLSA คือ Security Framework ที่กำหนดเกณฑ์การรักษาความปลอดภัยสำหรับ "Build & Release Process" ของซอฟต์แวร์ โดยเน้นการสร้าง Provenance หรือ "หลักฐานต้นทาง" ที่บอกได้ว่า Artifact (ไฟล์ Binary, Container Image, Package) ถูกสร้างจากซอร์สโค้ดเวอร์ชันใด ผ่าน Builder ตัวใด เมื่อใด และมีใครเป็นผู้สั่งให้ Build
ในอดีตทีม Security เน้นแต่ Vulnerability Scanning ที่ Source Code และ Production แต่ละเลย "Build System" ซึ่งเป็นจุดที่ Attacker หลายกลุ่มเริ่มเข้ามาฝัง Malware เช่น เคส SolarWinds Sunburst และ 3CX Supply Chain Attack ที่ Compromise Build Server ทำให้ลูกค้าหลายแสนรายได้รับ Update ที่ฝัง Backdoor
SLSA จึงตั้งคำถามใหม่ว่า "เราเชื่อ Build Pipeline ของเราได้แค่ไหน" และให้กรอบในการยกระดับความปลอดภัยทีละขั้น ตั้งแต่การมี Provenance พื้นฐานไปจนถึง Hermetic Build ที่กันการสุ่มแก้โค้ดระหว่าง Build
SLSA 4 Level เปรียบเทียบ
| Level | สิ่งที่ต้องมี | เหมาะกับ |
|-------|---------------|----------|
| Level 0 | ไม่มี Provenance ใดๆ | ไม่แนะนำสำหรับ Production |
| Level 1 | Provenance อัตโนมัติจาก Build Pipeline | ทีมเริ่มต้น DevSecOps |
| Level 2 | Provenance + Hosted Build + Signed | SME ที่มีทีม Platform |
| Level 3 | Hardened Builder + Non-falsifiable Provenance | องค์กรขนาดกลาง-ใหญ่ |
ทีมที่เพิ่งเริ่มควรตั้งเป้า Level 2 ภายใน 6 เดือนแรก ซึ่งทำได้โดยใช้ GitHub Actions, GitLab CI หรือ Buildkite ร่วมกับ Sigstore (cosign) และ Tekton Chains โดยไม่ต้องลงทุนซอฟต์แวร์เพิ่มเติม
SLSA สัมพันธ์กับ SBOM อย่างไร
SBOM (Software Bill of Materials) คือรายการส่วนประกอบของซอฟต์แวร์ที่บอกชื่อ Library, Version, License และ Hash ส่วน SLSA คือกระบวนการสร้าง Artifact ให้ปลอดภัยและพิสูจน์ที่มาได้ ทั้งสองทำงานเสริมกันอย่างใกล้ชิด
SBOM ตอบคำถามว่า "ในซอฟต์แวร์มีอะไรบ้าง" และ SLSA ตอบคำถามว่า "ของเหล่านั้นมาจากไหนและเชื่อถือได้อย่างไร" องค์กรที่ Mature ในด้าน Supply Chain Security จะต้องผลิตทั้ง SBOM (ในรูปแบบ SPDX หรือ CycloneDX) และ SLSA Provenance (ในรูปแบบ in-toto) เก็บไว้ตามคู่กับ Artifact ทุกตัว
EU Cyber Resilience Act และ US Executive Order 14028 ต่างก็กำหนดให้ผู้ค้าซอฟต์แวร์ต้องส่งมอบ SBOM พร้อม Product ซึ่งทำให้ SLSA + SBOM กลายเป็นข้อบังคับ ไม่ใช่ทางเลือก สำหรับธุรกิจที่ต้องการขายเข้าสู่ตลาดยุโรปและภาครัฐสหรัฐ
ขั้นตอนนำ SLSA มาใช้ใน 7 ขั้น
ทีม Engineering สามารถยกระดับ Build Pipeline สู่ SLSA Level 2-3 ได้ตามลำดับขั้น
ทีมขนาดเล็กควรเริ่มจากขั้นที่ 1-3 ก่อน แล้วเพิ่ม SBOM/Provenance ในเฟสถัดไป เพื่อไม่ให้ Disruption กับ Release Cadence
เครื่องมือ Open Source ที่ใช้คู่กับ SLSA
ระบบนิเวศ SLSA เติบโตเร็วมาก โดยเฉพาะหลัง Google และ Linux Foundation ทุ่มงบสนับสนุน
Use Case จริงในไทย
บริษัท Fintech ขนาดกลางในกรุงเทพใช้ SLSA Level 2 ผ่าน GitHub Actions และ cosign sign Container Image ทุก Release ทำให้ผ่านการตรวจของ ก.ล.ต. และคู่ค้าธนาคารต่างประเทศได้ในไตรมาสเดียว
ทีมพัฒนา IoT ในนิคมอุตสาหกรรมแหลมฉบังต้องส่งมอบ Firmware ให้ลูกค้ายุโรป จึง Generate SBOM ด้วย CycloneDX และเก็บ SLSA Provenance ในเซิฟเวอร์ภายใน ทำให้ Pass Audit ตาม EU CRA โดยไม่ต้องจ้างที่ปรึกษาภายนอก
ผู้ให้บริการ SaaS ด้าน HR ใช้ Sigstore + Kyverno บล็อก Image ที่ไม่ผ่านการ Sign ก่อน Deploy ลด Incident จาก Misconfiguration ของ Container Registry ลง 90% ภายใน 3 เดือน
สรุปและก้าวต่อไป
SLSA ไม่ใช่ Tool แต่เป็นวิธีคิดในการปกป้อง Build Pipeline ที่ตอบรับโลกแห่ง Software Supply Chain Attack ปัจจุบัน SME ไทยที่ต้องการขายซอฟต์แวร์ให้ลูกค้าต่างประเทศ หรือเข้าร่วม Vendor Pool ของหน่วยงานรัฐ ควรเริ่มเดินทางสู่ SLSA Level 2 ทันทีโดยใช้ Stack Open Source ที่มีอยู่ฟรี
หากองค์กรของคุณต้องการ Implement SBOM, SLSA Provenance หรือยกระดับ DevSecOps Pipeline ให้สอดคล้อง EU CRA และ ISO 27001 ทีม ADS FIT ยินดีให้คำปรึกษา [ติดต่อเรา](/contact) หรืออ่านบทความที่เกี่ยวข้อง เช่น OWASP Top 10 LLM, NIS 2 Directive และ ISO 27001 บน Blog ของเรา