Nauja praktinė medžiaga
2026 m. spalio 22 d. ENISA paskelbė leidinį apie programinės įrangos komponentų sąrašus. Jis papildo praktinę diskusiją apie tiekimo grandinės skaidrumą ir komponentų duomenų naudojimą.
CRA I priedo II dalyje nustatytas reikalavimas identifikuoti ir dokumentuoti pažeidžiamumus bei komponentus, be kita ko parengiant mašinai skaitomą SBOM bent produkto aukščiausiojo lygio priklausomybėms.
Susiekite sąrašą su produkto leidimu
Apibrėžkite, kuriam produkto leidimui ir surinkimo procesui priklauso sąrašas. Naudokite aiškius komponentų identifikatorius, versijas ir kilmės duomenis.
Nustatykite atnaujinimo procesą ir atsakingą asmenį. Aptikus komponento pažeidžiamumą turi būti įmanoma nustatyti paveiktus produktus ir įvertinti poveikį.
Vien turėti failą nepakanka
Patikrinkite duomenų pilnumą ir panaudojimą reagavimo procese. Su sintetiniu pavyzdžiu įvertinkite, ar komanda iš sąrašo gali nustatyti paveiktą versiją ir priimti taisymo sprendimą.
SBOM parengimas savaime nereiškia pareigos visą sąrašą viešai paskelbti. Informacijos pateikimą vertinkite pagal konkrečias teisines pareigas ir produkto aplinkybes.
Tai informacinis paaiškinimas. Konkrečios pareigos priklauso nuo produkto, organizacijos ir taikytinos teisės akto redakcijos.