Vgrajene ekipe se soočajo z dolgimi življenjskimi dobami izdelkov, omejenimi kanali posodobitev in odvisnostjo od proizvajalcev čipov. Obdobje podpore in dolžnosti posodabljanja iz CRA trčijo ob vse tri.
Tipična vprašanja o obsegu CRA
- Ali je strojna programska oprema dana na trg ločeno (na primer kot modul ali plošča) ali samo v vašem končnem izdelku?
- Ali je mikrokrmilnik ali varen element, ki ga gradite ali vgrajujete, v kategoriji iz Priloge III ali IV?
- Kdo je proizvajalec končnega izdelka in katere informacije potrebujejo integratorji od vas (Priloga II(8)(f))?
Tipična arhitektura
Zagonski nalagalnik, RTOS ali vgrajeni Linux, BSP in gonilniki dobavitelja, aplikacijska koda, komunikacijski sklopi in pot posodobitev na terenu.
Skrbi glede dobavne verige programske opreme
SDK-ji dobaviteljev z nejasnim poreklom, binarni bloki brez izvorne kode, razvejane odprtokodne knjižnice, dolgoživa različica jedra in sistemi za gradnjo (Yocto, Zephyr, razvojna okolja dobaviteljev), ki SBOM privzeto ne ustvarijo.
Varnostni življenjski cikel
Varen zagon in preverjene posodobitve, ključi, podprti s strojno opremo, minimalne storitve, ukrepi za varnost pomnilnika, fuzzing razčlenjevalnikov, ustvarjanje SBOM znotraj gradnje strojne programske opreme in vrata izdaje, vezana na register ranljivosti.
Dokazila
SBOM strojne programske opreme po sliki, zapisi ponovljivosti gradnje, zasnova in testi varnosti posodobitev, poročila o fuzzingu in testih ter zapis komunikacije z dobavitelji o ranljivostih sestavnih delov.
Tipične pasti
Ustvariti SBOM iz drevesa izvorne kode. Zgreši binarne datoteke dobaviteljev in vse, kar doda gradnja. SBOM ustvarite iz zgrajene slike in ga navzkrižno preverite.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- Razvrstitev izdelkov po CRA: privzeti, pomembni in kritični izdelki
- CRA in SBOM: kaj je dejansko zahtevano?
- CRA in komponente programske opreme tretjih oseb
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.