Una relazione di dipendenza è un record nei dati di inventario software, come un SBOM, che mostra che un componente dipende da un altro. Ad esempio, un'applicazione può dipendere da una libreria di logging, che a sua volta dipende da un parser o da un pacchetto crittografico. Questa relazione è importante perché il software è raramente costruito a partire da un singolo codebase; viene assemblato da livelli di componenti riutilizzabili, strumenti di compilazione e librerie di terze parti.
Nella sicurezza informatica, le relazioni di dipendenza aiutano i team a tracciare rapidamente l'esposizione. Se viene scoperta una libreria vulnerabile, i difensori possono vedere quali prodotti ereditano quel rischio attraverso dipendenze dirette o transitive e dare priorità all'applicazione di patch o a controlli compensativi. Anche gli aggressori prendono di mira le dipendenze, soprattutto negli attacchi alla supply chain, perché compromettere un singolo pacchetto upstream può influire su molte applicazioni downstream. Dati accurati sulle relazioni migliorano l'abbinamento delle vulnerabilità, la convalida del software e la revisione degli acquisti, ma funzionano solo quando l'SBOM è completo e leggibile dalle macchine.