SBOM e registos de componentes do CRA

Requisito do anexo I

identificar e documentar vulnerabilidades e componentes incluídos nos produtos com elementos digitais, nomeadamente através da elaboração de uma lista de materiais de software num formato legível por máquina e utilizado habitualmente, que abranja, no mínimo, as dependências de nível superior dos produtos;

Regulamento (UE) 2024/2847, anexo I, parte II, ponto 1

A SBOM faz parte de um registo de componentes mais abrangente. Ajuda o fabricante a compreender que componentes estão incluídos no produto e que vulnerabilidades podem afetá-los.

O que deve ser distinguido

Exemplo: registo rastreável de componentes

O registo fictício seguinte descreve uma dependência direta de software numa versão de firmware de um controlador. Ilustra informações de engenharia úteis; os campos não constituem um esquema adicional exigido pelo CRA.

• Produto: firmware do controlador 1.2.0, compilação de lançamento 120; inventário criado a partir da compilação lançada e dos respetivos dados de dependências.
• Componente: example-parser 2.4.0, fornecido pelo projeto fictício Example Components; dependência direta do firmware.
• Identificação e origem: identificador do pacote, revisão exata do código-fonte ou referência do fornecedor e resumo criptográfico efetivo do artefacto fornecido.
• Utilização: o componente analisa um ficheiro de configuração carregado através de uma interface de manutenção autenticada. Registe as opções de compilação relevantes e o componente que o invoca.
• Evidências: estabeleça uma ligação à SBOM legível por máquina e aos registos da compilação ou do fornecedor utilizados para verificar esta entrada. Preserve o inventário da versão anterior quando o componente mudar.

O nome e a versão de um componente podem ajudar a encontrar potenciais vulnerabilidades. Para determinar se o produto é afetado, é necessária uma análise adicional: se o código vulnerável está incluído, se a função afetada é executada, a entrada a que um atacante pode aceder e os controlos relevantes. Uma correspondência por esclarecer continua sob investigação; não demonstra que o produto não é afetado.

Uma declaração como «não afetado» deve identificar a versão do produto, a vulnerabilidade, o motivo técnico e as evidências de suporte. Volte a verificá-la quando mudar uma opção de compilação, a versão do componente, uma interface ou um pressuposto de implementação.

Ligação à documentação técnica

O anexo VII inclui as informações sobre componentes e a SBOM na documentação técnica. Exige também informações sobre o processo de tratamento de vulnerabilidades, a política de divulgação coordenada de vulnerabilidades, o contacto para a comunicação de vulnerabilidades e a distribuição segura de atualizações.

A vertente do processo é explicada em Registos de tratamento de vulnerabilidades e prEN 40000-1-3 Vulnerability Handling.

Estatuto do formato

O anexo I exige uma SBOM num formato legível por máquina e utilizado habitualmente, que abranja, pelo menos, as dependências de nível superior. O artigo 13.º, n.º 24, também permite que a Comissão especifique o formato e os elementos através de um ato de execução, tendo em conta normas e boas práticas europeias ou internacionais. As opções de formato têm, por isso, de distinguir o requisito de base do regulamento de eventuais requisitos de execução aplicáveis.

• Uma lista de componentes em PDF não cumpre o requisito de formato legível por máquina aplicável à SBOM.
• A SBOM identifica componentes; o tratamento de vulnerabilidades também exige análise do impacto, medidas corretivas e comunicação.
• O anexo VII prevê o acesso das autoridades à SBOM mediante pedido; não cria uma obrigação geral de a publicar.