VEX zabeleži izid triaže: prizadeto, ni prizadeto, odpravljeno ali v preiskavi, z razlogom. Prihrani ponavljanje analize in daje strankam jasen odgovor.
Kaj vsebuje VEX
Izjava VEX se nanaša na izdelek, ranljivost in stanje. Običajna stanja so ni prizadeto, prizadeto, odpravljeno in v preiskavi. Pri stanju »ni prizadeto« utemeljitev pojasni, zakaj, na primer da ranljive kode ni ali da ni dosegljiva. Podatke VEX je mogoče prenašati v CycloneDX ali v drugih formatih, kot je CSAF.
Zakaj je pomemben za CRA
Priloga I, del II zahteva, da proizvajalci opredelijo in dokumentirajo ranljivosti, jih brez odlašanja obravnavajo in razkrijejo odpravljene. SBOM, povezan s podatki o ranljivostih, ustvari veliko zadetkov. Večina ni izrabljivih v vašem izdelku. VEX pokaže, katere so, in ohrani odločitev preverljivo.
Izjave VEX po različicah izdelka, z datumom, avtorjem, stanjem in utemeljitvijo, povezane s SBOM, na katerega se nanašajo.
Ranljivosti označiti kot »ni prizadeto« brez zabeleženega razloga. Nepojasnjeno »ni prizadeto« ni dokazilo.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.