Storitev
SBOM in varnost dobavne verige programske opreme
Priloga I, del II zahteva, da proizvajalci prepoznajo in dokumentirajo sestavne dele, vključno s kosovnico za programsko opremo (SBOM) v splošno uporabni, strojno berljivi obliki, ki zajema vsaj najpomembnejše odvisnosti. Datoteka SBOM je šele začetek. CRA pričakuje, da jo uporabite za obravnavo ranljivosti v celotnem obdobju podpore.
Zakaj je to pomembno zaradi CRA
Priloga I, del II(1) zahteva, da proizvajalci opredelijo in dokumentirajo ranljivosti in sestavne dele izdelka, vključno s pripravo SBOM v splošno uporabni in strojno berljivi obliki, ki vsebuje vsaj najpomembnejše odvisnosti. Člen 13(5) zahteva skrbni pregled komponent tretjih oseb in odprte kode, člen 13(6) pa poročanje o ranljivostih, najdenih v sestavnem delu, tistemu, ki ga vzdržuje.
Po Prilogi VII je SBOM del dokumentacije o obravnavanju ranljivosti in se organu za nadzor trga predloži na obrazloženo zahtevo. Ni ga treba objaviti strankam. Priloga II proizvajalcu prepušča odločitev, ali uporabnikom pove, kje je dostopen.
Težava, ki jo vidimo
- SBOM se ustvari enkrat, za vprašalnik stranke, in nikoli več.
- SBOM navaja samo knjižnice najvišje ravni ali izpusti strojno programsko opremo, vsebnike in vključeno kodo.
- Ugotovitve skeniranja ranljivosti niso povezane s kontekstom izdelka, zato ekipe popravljajo, kar je glasno, in zgrešijo, kar je izrabljivo.
- Nihče ni lastnik izjav VEX, zato vsaka nova CVE znova odpre isto razpravo.
- 01Ustvarjanje
- 02Preverjanje kakovosti
- 03Upravljanje sestavnih delov
- 04Povezava z ranljivostmi
- 05Ocena z VEX
- 06Odprava
- 07Vzdrževanje po izdaji
Kaj naredimo
Ustvarjanje SBOM
Ob vsaki gradnji, iz izvorne kode in artefaktov, v CycloneDX ali SPDX. Najpomembnejše odvisnosti kot minimum po CRA, tranzitivne odvisnosti, kjer so pomembne za tveganje.
Preverjanje kakovosti
Popolnost, točnost različic, identifikatorji (purl, CPE), podatki o licencah in informacije o dobavitelju preverjeni glede na dejanski izdelek.
Upravljanje sestavnih delov
Politika odobrenih sestavnih delov, sledenje koncu življenjske dobe, skrbni pregled dobaviteljev in odprte kode, poročanje navzgor.
Povezava z ranljivostmi
SBOM se stalno primerjajo z viri ranljivosti, z uporabo konteksta izdelka.
VEX
Prizadeto, ni prizadeto, odpravljeno ali v preiskavi, z utemeljitvijo, izdano po različici izdelka.
Življenjski cikel in dokazila
SBOM in VEX arhivirana po izdaji, povezana z oceno tveganj in tehnično mapo.
Kaj prejmete
- Proces SBOM in model lastništva
- Ustvarjanje SBOM vzpostavljeno v vašem cevovodu gradnje in zapis o izbiri orodij
- Poročilo o kakovosti SBOM z opredeljenimi merili sprejemljivosti
- Politika upravljanja sestavnih delov
- Potek dela VEX in predloge
- Sklici na SBOM, pripravljeni za mapo po Prilogi VII
Dokazila, ki nastanejo
- Arhiv SBOM z različicami po izdajah
- Rezultati preverjanja kakovosti
- Izjave VEX z utemeljitvijo in datumom
- Zapisi o odobritvi sestavnih delov in koncu življenjske dobe
Datoteka SBOM ni program SBOM
| Vidik | Datoteka SBOM | Program SBOM |
|---|---|---|
| Nastane | Enkrat, na zahtevo | Ob vsaki gradnji ali izdaji, samodejno |
| Kakovost | Nepreverjena | Preverjena glede na opredeljena merila |
| Ranljivosti | Niso povezane | Stalno povezane, triažirane z VEX |
| Lastnik | Kdorkoli je zagnal orodje | Imenovan lastnik s postopkom |
| Povezava s CRA | Nobena | Del obravnavanja ranljivosti in tehnične mape |
Formati
CycloneDX in SPDX sta oba pogosto uporabljena strojno berljiva formata. Format izberemo glede na uporabnike, orodja in vrsto izdelka ter lahko ustvarimo katerega koli. Programa ne vežemo na enega ponudnika. Glejte stran platforma in orodja.
CRA določa minimum: najpomembnejše odvisnosti, v splošno uporabni in strojno berljivi obliki. Ali vaš izdelek potrebuje več globine, je odvisno od ocene tveganj in načina obravnave ranljivosti v tranzitivnih sestavnih delih.
Verjeti, da CRA zahteva objavo SBOM. Zahteva, da ga pripravite in hranite v tehnični dokumentaciji. Objava je vaša odločitev.
Kaj sledi
- Kratek pogovorPotrdimo izdelek, vlogo na trgu in cilj.
- Ponudba z določenim obsegomFiksen obseg, izdelki in časovnica.
- Delo z vašimi inženirjiDelavnice in pregledi, ne predaja dokumentov.
Bo vaš izdelek pripravljen na CRA?
Obveznosti poročanja po CRA veljajo od 11. septembra 2026. Večina zahtev CRA se uporablja od 11. decembra 2027. Začnite z razumevanjem, kaj velja za vaš izdelek, kje so vrzeli in katera dokazila boste potrebovali.