Co zawiera SBOM
Nazwy komponentów, dokładne wersje, dostawców i licencje - dla Twojego kodu, RTOS lub dystrybucji Linuksa, SDK i HAL-i producentów, bootloaderów i bibliotek open source.
Dwa popularne formaty to SPDX i CycloneDX. Wybierz ten, który obsługują Twoje narzędzia i klienci.
Generuj go w buildzie
- Obrazy Yocto mogą tworzyć dokumenty SPDX z metadanych buildu.
- Zephyr udostępnia narzędzia do generowania SPDX z buildu.
- W projektach bare-metal zapisuj dołączone komponenty i wersje w systemie budowania i eksportuj je przy wydaniu.
- Nigdy nie utrzymuj SBOM ręcznie - rozjedzie się z prawdziwym firmware.
Utrzymuj jego przydatność
- Przechowuj SBOM z każdą wydaną wersją firmware.
- Regularnie sprawdzaj komponenty w bazach podatności.
- Kieruj nowe znaleziska do zespołu odpowiedzialnego za produkt, z terminem oceny.
Dlaczego to ważne dla CRA
Od 11 grudnia 2027 CRA wymaga od producentów identyfikacji i dokumentowania komponentów, w tym SBOM. Bez niego odpowiedź na pytanie „czy nas to dotyczy?” po nowej podatności jest powolna i podatna na błędy. Zobacz naszą usługę cyberbezpieczeństwo i CRA.