Ponudniki programske opreme imajo običajno najmanj kompleksnosti, povezane s strojno opremo, in največ kompleksnosti, povezane z odvisnostmi. Večina dela so sestavni deli, cevovod izdaje in obravnava ranljivosti.
Tipična vprašanja o obsegu CRA
- Ali je izdelek nameščen ali distribuiran (v obsegu) ali dostopen samo kot storitev (preverite opredelitev daljinske obdelave podatkov)?
- Ali je mobilna aplikacija za osnovno funkcijo odvisna od ponudnikove storitve v oblaku? Potem je storitev del izdelka (člen 3(2)).
- Ali je knjižnica, SDK ali vtičnik dan na trg ločeno? Potem je izdelek z digitalnimi elementi.
- Katere različice so podprte in kakšno je obdobje podpore za vsako?
Tipična arhitektura
Odjemalske ali namizne aplikacije, zaledni sistem, ki ga upravlja ponudnik, API-ji, kanal distribucije prek paketov ali trgovin z aplikacijami in običajno veliko odprtokodnih odvisnosti.
Skrbi glede dobavne verige programske opreme
Velika drevesa tranzitivnih odvisnosti, vsebniki in osnovne slike, orodja za gradnjo, vključena koda in opuščeni paketi. Glavna obremenitev sta kakovost SBOM in upravljanje sestavnih delov.
Varnostni življenjski cikel
Varen razvoj v CI/CD, SAST in SCA z opredeljenimi pragovi, podpisane izdaje, vrata izdaje in proces popravljanja, ki lahko hitro dobavi popravek. Stalna dobava pomaga, vendar vsaka izdaja še vedno potrebuje svoj SBOM in zapise odločitev.
Dokazila
SBOM po izdaji, odločitve VEX, dnevniki cevovoda, model groženj, poročila o testih, utemeljitev obdobja podpore in tehnična mapa, ki sledi različicam.
Tipične pasti
Domnevati, da SaaS podjetje postavi zunaj CRA. Če se skupaj s storitvijo distribuira mobilna aplikacija, agent ali lokalni sestavni del, je ta sestavni del izdelek z digitalnimi elementi in njegova daljinska obdelava podatkov se presoja skupaj z njim.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- CRA in SBOM: kaj je dejansko zahtevano?
- CRA in odprtokodna programska oprema
- Ali CRA velja za moj izdelek?
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.