SBOM podpira preglednost sestavnih delov programske opreme in obravnavo ranljivosti. Za CRA je ena zahteva med mnogimi: Priloga I, del II(1), in vložek v tehnično mapo.
Kje se SBOM pojavi v CRA
| Določba | Kaj pravi o SBOM |
|---|---|
| Člen 3(39) | Opredeljuje kosovnico za programsko opremo kot uraden zapis podrobnosti o sestavnih delih programske opreme izdelka in njihovih odnosov v dobavni verigi |
| Priloga I, del II(1) | Proizvajalci opredelijo in dokumentirajo ranljivosti in sestavne dele, vključno s pripravo SBOM v splošno uporabni, strojno berljivi obliki, ki zajema vsaj najpomembnejše odvisnosti |
| Priloga VII(2)(b), (8) | SBOM je del dokumentacije o obravnavanju ranljivosti in se organu za nadzor trga predloži na obrazloženo zahtevo |
| Priloga II(9) | Če se proizvajalec odloči SBOM dati na voljo uporabnikom, informacije za uporabnika povedo, kje je dostopen |
Vodiči v tem sklopu
Spodnji vodiči so napisani tako, da jih lahko berete ločeno, in se vračajo na to stran.
SBOM ustvarite iz gradnje, ne iz repozitorija. Gradnja ve, kaj je bilo dejansko dobavljeno, vključno s plastmi vsebnikov in vključeno kodo.
V tem vodiču
CRA in SBOM: kaj je dejansko zahtevano?
Kaj CRA zahteva za SBOM: Priloga I, del II(1), format, najpomembnejše odvisnosti, kdo ga vidi in kako se povezuje z obravnavo ranljivosti.
CycloneDX in SPDX za SBOM po CRA
CycloneDX in SPDX, primerjana za uporabo po CRA. Oba sta strojno berljiva formata SBOM. Kako izbrati glede na orodja, uporabnike in namen.
VEX in CRA: dokumentiranje izrabljivosti
Kaj je VEX in kako podpira obravnavo ranljivosti po CRA: izjave o tem, ali ranljivost vpliva na vaš izdelek, s stanji, utemeljitvami in življenjskim ciklom.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- CRA in SBOM: kaj je dejansko zahtevano?
- Kaj naj vsebuje SBOM za CRA?
- Ali je SBOM dovolj za CRA?
- CRA in komponente programske opreme tretjih oseb
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.