CRAのSBOMとコンポーネント記録

附属書Iの要件

デジタル要素を備えた製品に含まれる脆弱性およびコンポーネントを特定して文書化すること。これには、少なくとも製品の最上位依存関係を網羅する、一般に使用される機械可読形式のソフトウェア部品表を作成することが含まれる。

規則 (EU) 2024/2847、附属書I第II部第1号

SBOMは、より広範なコンポーネント記録の一部です。製品にどのコンポーネントが含まれているか、また、どの脆弱性がそれらのコンポーネントに影響し得るかをメーカーが把握するのに役立ちます。

区別すべき事項

例：追跡可能なコンポーネント記録

以下の架空の記録は、コントローラーファームウェアのリリースにおける直接ソフトウェア依存関係を説明しています。これは有用なエンジニアリング情報の例であり、各フィールドがCRAで追加的に義務付けられたスキーマというわけではありません。

• 製品：コントローラーファームウェア1.2.0、リリースビルド120。リリースビルドとその依存関係データからインベントリを作成。
• コンポーネント：架空のExample Componentsプロジェクトが提供するexample-parser 2.4.0。ファームウェアの直接依存関係。
• 識別情報と出所：パッケージ識別子、正確なソースリビジョンまたはサプライヤー参照、供給された成果物の実際のダイジェスト。
• 用途：認証済み保守インターフェースからアップロードされた設定ファイルを解析するコンポーネント。関連するビルドオプションと呼び出し元コンポーネントを記録。
• 証拠：このエントリーの検証に使用した機械可読SBOMおよびビルド記録またはサプライヤー記録へのリンク。コンポーネントが変更された場合も、以前のリリースのインベントリを保持。

コンポーネント名とバージョンは、脆弱性候補を見つけるのに役立ちます。製品への影響を判断するには、脆弱なコードが含まれているか、該当機能が実行されるか、攻撃者が到達できる入力は何か、関連する制御があるかなどをさらに分析する必要があります。一致の有無が未解決なら、調査中の状態であり、製品に影響がない証拠ではありません。

「影響なし」と結論付ける場合は、製品バージョン、脆弱性、技術的根拠、裏付けとなる証拠を明示してください。ビルドオプション、コンポーネントのバージョン、インターフェース、または導入前提が変わった場合は再確認してください。

技術文書との関連

附属書VIIでは、コンポーネント情報とSBOMを技術文書に含めることが定められています。また、脆弱性対応プロセス、協調的脆弱性開示ポリシー、報告窓口、安全な更新配布に関する情報も求めています。

プロセスについては、 脆弱性対応記録 および prEN 40000-1-3 脆弱性対応で解説しています。

形式に関する状況

附属書Iは、一般に使用される機械可読形式で、少なくとも最上位依存関係を網羅するSBOMを求めています。第13条第24項は、欧州または国際的な規格やベストプラクティスを考慮して、欧州委員会が実施法令によりその形式と要素を特定することも認めています。そのため形式を選ぶ際は、規則の基本要件と、適用される実施要件を区別する必要があります。

• PDF形式のコンポーネント一覧は、SBOMに必要な機械可読形式の要件を満たしません。
• SBOMはコンポーネントを特定するものです。脆弱性対応には、影響分析、是正、伝達も必要です。
• 附属書VIIは当局の要請に応じたSBOMへのアクセスを定めていますが、SBOMを一般公開する義務を設けてはいません。