Rozporządzenie obowiązuje
Od tego dnia rozporządzenie (UE) 2024/2847 obowiązuje. Pozostałe obowiązki stosuje się w późniejszych terminach.
Spis komponentów
Zestawienie składników oprogramowania
Zestawienie składników oprogramowania jest spisem tego, co weszło do produktu z elementami cyfrowymi. Rozporządzenie (UE) 2024/2847 każe mieć je w formie maszynowej i oddać organowi nadzoru rynku na żądanie.
Podatność w 24 godziny
Od tej daty aktywnie wykorzystywaną podatność i poważny incydent zgłasza się do ENISA oraz właściwego CSIRT.
Wymagania i znak CE
Zasadnicze wymagania bezpieczeństwa i oznakowanie CE stosują się do większości produktów z elementami cyfrowymi.
Czym jest zestawienie
Zestawienie składników oprogramowania jest uporządkowanym spisem komponentów, z których składa się produkt z elementami cyfrowymi. Oprócz nazw może nieść licencje, znane podatności oraz informację, kto spis sporządził i kiedy. Bez takiego spisu producent, który dostaje numer podatności, nie umie powiedzieć, czy dotyczy ona produktu już wprowadzonego na rynek.
Co rozporządzenie każe mieć
Rozporządzenie (UE) 2024/2847 wymaga zestawienia w formacie powszechnie używanym i maszynowo czytelnym. Zakres minimalny to zależności najwyższego poziomu, czyli składniki, które produkt przyjmuje wprost, a nie każda biblioteka schowana piętro niżej. Zestawienie jest częścią dokumentacji, którą producent udostępnia organowi nadzoru rynku na żądanie.
Pełne zestawienie nie jest uprawnieniem każdego klienta. W umowie rozsądne jest potwierdzenie, że spis istnieje, oraz wskazanie składnika objętego podatnością, która dotyka usługi klienta. Żądanie całego pliku jako prawa ustawowego każdego nabywcy wykracza poza rozporządzenie.
Jakie pola są w użyciu
Nie ma jednej światowej listy pól. W praktyce spis podaje dostawcę składnika, nazwę, wersję, identyfikator, relację zależności, autora danych i znacznik czasu. Identyfikatorem bywa PURL, CPE albo SWID, żeby ta sama biblioteka nie rozjechała się między nazwą handlową a nazwą w repozytorium. Do tego dochodzi forma maszynowa. Plik, którego nie da się zapytać programem, nie pomoże w dniu, w którym wychodzi podatność.
Dwa formaty, które ten warunek spełniają
W powszechnym użyciu są dwa pełne formaty: CycloneDX, prowadzony przez OWASP, oraz SPDX, prowadzony przez Linux Foundation i wydany jako ISO/IEC 5962:2021. SWID bywa identyfikatorem składnika, ale sam nie jest pełnym zestawieniem. Oba pełne formaty są maszynowo czytelne, więc oba nadają się do obowiązku z rozporządzenia. Rozporządzenie nie wybiera jednego z nich.
Po co to przy podatności
Gdy publikowana jest podatność, producent porównuje nazwę i wersję składnika ze spisem wydania, które jest na rynku. Jeśli spis jest z tej kompilacji, wiadomo, czy produkt jest objęty. Jeśli spis opisuje inną kompilację, odpowiedź myli w obie strony. Dlatego zestawienie odświeża się przy wydaniu.
Informacja, czy podatność da się w danym produkcie wykorzystać, może siedzieć w zestawieniu albo w osobnym pliku. Sam numer podatności w spisie nie oznacza, że produkt jest atakowany. Oznacza, że składnik w spisie jest i trzeba to rozstrzygnąć.
Czego zestawienie nie zastępuje
Spis mówi, z czego produkt jest zbudowany. Na tej podstawie producent ustala, czy aktywnie wykorzystywana podatność dotyczy wprowadzonego produktu, i czy ma co przekazać organowi nadzoru rynku, gdy ten o zestawienie poprosi. Spis nie zastępuje ścieżki zgłoszenia z art. 14.
Objaśnienie zestawienia przeczytane w FOSSA Learning Center.