Odgovorni ste za celoten izdelek, vključno z vsakim sestavnim delom, ki ga niste napisali. Skrbni pregled pomeni izbiro, spremljanje in zmožnost zamenjave komponent.
Praktičen model skrbnega pregleda
To je naše priporočilo za izpolnitev člena 13(5). CRA metode ne predpisuje.
| Stopnja | Vprašanje | Zapis |
|---|---|---|
| Izbira | Ali se vzdržuje, ali ima varnostni stik, kakšna je zgodovina njegovih ranljivosti? | Zapis o odobritvi sestavnega dela |
| Vključitev | Ali je pripet, preverjen in gradnja ponovljiva? Ali je napadna površina omejena? | Politika gradnje in odvisnosti |
| Spremljanje | Ali se prek SBOM povezuje z viri ranljivosti? | Register ranljivosti |
| Odziv | Ali ga lahko popravite ali zamenjate znotraj obdobja podpore? | Načrt posodobitev |
| Umik | Kdaj doseže konec življenjske dobe in ali se to ujema z vašim obdobjem podpore? | Sledilnik konca življenjske dobe |
Od dobaviteljev strojne in lastniške programske opreme zahtevajte varnostni stik, politiko posodobitev in, kjer je na voljo, njihov SBOM in podatke VEX. V pogodbe z dobavitelji vključite varnostne pogoje, da vaše obdobje podpore ne bo spodkopano z njihovim.
Obljubiti desetletno obdobje podpore s ključnim sestavnim delom, ki ga bo njegov dobavitelj nehal podpirati čez štiri leta.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- CRA in odprtokodna programska oprema
- CRA in SBOM: kaj je dejansko zahtevano?
- Obdobje podpore po CRA, razloženo
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.