CRA SBOM과 구성 요소 기록
Sytance · 업데이트
CRA는 취약점 처리의 일부로 구성 요소 파악을 요구합니다. 부속서 I은 제조업체가 소프트웨어 자재 명세서(SBOM)를 작성하는 방식 등을 통해 취약점과 구성 요소를 식별하고 문서화하도록 요구합니다.
부속서 I 요구사항
디지털 요소 제품에 포함된 취약점과 구성 요소를 식별하고 문서화해야 합니다. 여기에는 일반적으로 사용되는 기계 판독 가능 형식으로 제품의 최상위 종속성 이상을 포함하는 소프트웨어 자재 명세서 작성도 포함됩니다.
규정(EU) 2024/2847 부속서 I 제II부 제1호
SBOM은 더 넓은 구성 요소 기록의 일부입니다. 제조업체가 제품에 어떤 구성 요소가 포함되어 있는지, 어떤 취약점이 해당 구성 요소에 영향을 미칠 수 있는지 파악하는 데 도움이 됩니다.
구별해야 할 사항
SBOM
기계 판독 가능한 소프트웨어 구성 요소 기록입니다. 부속서 I은 최소한 최상위 종속성을 요구합니다.
통합 구성 요소
제품에 포함된 구성 요소로 인해 완제품에 취약점 처리 의무가 생길 수 있습니다.
타사 구성 요소
제13조는 타사 구성 요소를 제품에 통합할 때 실사를 요구합니다.
당국의 접근
부속서 VII은 부속서 I 준수 여부 확인에 필요한 경우 이유를 명시한 요청에 따라 SBOM에 접근할 수 있도록 규정합니다.
사례: 추적 가능한 구성 요소 기록
다음의 가상 기록은 제어기 펌웨어 릴리스의 직접 소프트웨어 종속성을 설명합니다. 유용한 엔지니어링 정보를 보여주는 예이며, 추가 CRA 필수 스키마를 뜻하지는 않습니다.
- 제품: 제어기 펌웨어 1.2.0, 릴리스 빌드 120. 릴리스 빌드와 종속성 데이터에서 인벤토리를 작성.
- 구성 요소: 가상의 Example Components 프로젝트에서 제공한 example-parser 2.4.0. 펌웨어의 직접 종속성.
- 식별 정보 및 출처: 패키지 식별자, 정확한 소스 리비전 또는 공급업체 참조, 제공된 아티팩트에서 실제 확인한 다이제스트.
- 사용 방식: 인증된 유지보수 인터페이스를 통해 업로드한 구성 파일을 구성 요소가 분석합니다. 관련 빌드 옵션과 호출 구성 요소를 기록합니다.
- 증거: 이 항목을 검증하는 데 사용한 기계 판독 가능한 SBOM과 빌드 또는 공급업체 기록을 연결합니다. 구성 요소가 변경되면 이전 릴리스의 인벤토리를 보관합니다.
구성 요소 이름과 버전은 취약점 후보를 찾는 데 도움이 될 수 있습니다. 제품에 실제로 영향을 미치는지는 추가 분석이 필요합니다. 취약한 코드가 포함되어 있는지, 해당 기능이 실행되는지, 공격자가 도달할 수 있는 입력이 무엇인지, 관련 통제가 있는지를 살펴봅니다. 일치 여부가 해결되지 않았다면 계속 조사 중인 상태이며 제품에 영향이 없다는 증거는 아닙니다.
‘영향 없음’이라는 진술에는 제품 버전, 취약점, 기술적 이유, 뒷받침하는 증거를 명시해야 합니다. 빌드 옵션, 구성 요소 버전, 인터페이스, 배포 가정이 바뀌면 다시 확인합니다.
기술문서와의 연계
부속서 VII은 구성 요소와 SBOM 정보를 기술문서에 포함하도록 합니다. 취약점 처리 프로세스 정보, 조정된 취약점 공개 정책, 신고 연락처, 안전한 업데이트 배포 정보도 요구합니다.
취약점 처리 프로세스는 「 취약점 처리 기록 」 및 「 prEN 40000-1-3 취약점 처리」에서 설명합니다.
형식의 상태
부속서 I은 일반적으로 사용되는 기계 판독 가능 형식으로 최상위 종속성 이상을 포함하는 SBOM을 요구합니다. 제13조 제24항에 따라 유럽위원회는 유럽 또는 국제 표준과 모범 사례를 고려해 이행 법령으로 형식과 요소를 지정할 수도 있습니다. 따라서 형식을 선택할 때 규정의 기준 요건과 적용 가능한 이행 요구사항을 구분해야 합니다.
- PDF 구성 요소 목록은 SBOM의 기계 판독 가능 형식 요구사항을 충족하지 않습니다.
- SBOM은 구성 요소를 식별합니다. 취약점 처리에는 영향 분석, 시정, 정보 전달도 필요합니다.
- 부속서 VII은 당국 요청에 따른 SBOM 접근을 규정할 뿐 SBOM을 일반에 공개할 의무를 만들지는 않습니다.