Guia CRA • componentes e SBOM
SBOM no Cyber Resilience Act: como preparar uma lista confiável
Guia operacional sobre SBOM no CRA: inventário de componentes, qualidade, terceiros, vulnerabilidades, acesso e vínculo com a documentação técnica.
Compartilhe este guia com a equipe.
Os links preservam a fonte e identificam o canal de origem. Para Instagram e TikTok, use o compartilhamento do celular.
01 • função
A SBOM conecta componentes, produto e resposta
O Anexo VII inclui a software bill of materials entre as informações do processo de tratamento de vulnerabilidades. A lista também pode ser fornecida, quando aplicável, após pedido fundamentado de uma autoridade de fiscalização para verificação dos requisitos essenciais.
02 • confiabilidade
Seis perguntas testam se a lista serve para decisão
A SBOM informa produto, modelo, versão, build e data?
Inclui dependências diretas, transitivas, firmware e componentes relevantes?
Nomes, versões, fornecedor e identificadores podem ser verificados?
O processo gera nova lista quando a composição muda?
Está claro como e por qual pipeline o arquivo foi criado?
É possível relacionar um aviso ou vulnerabilidade aos produtos afetados?
03 • cadeia de software
Inventário é só o começo da diligência
Ao integrar componentes de terceiros, inclusive software livre e de código aberto, o fabricante deve exercer diligência compatível com a natureza e o risco do componente. A orientação oficial destaca histórico de atualizações, vulnerabilidades conhecidas, evidências de conformidade quando aplicáveis e testes adicionais como possíveis verificações.
04 • rotina
Gere, valide, relacione e preserve
- 01Gere no pipeline controlado
Associe a SBOM à build reproduzível e registre a ferramenta e a configuração.
- 02Valide amostras críticas
Confira componentes centrais, dependências transitivas e itens sem versão.
- 03Relacione ao produto vendido
Mantenha a ponte entre arquivo, release, clientes ou mercados afetados e período de suporte.
- 04Use na triagem de vulnerabilidades
Transforme alertas externos em consulta de alcance, decisão e ação documentada.
- 05Proteja e disponibilize com controle
Defina retenção, acesso, suplência e resposta a pedidos autorizados.
05 • controle de qualidade
O arquivo existe — mas ainda pode não funcionar
- SBOM sem produtoO arquivo não informa qual versão ou build representa.
- Exportação sem validaçãoComponentes críticos aparecem ausentes, duplicados ou sem versão.
- Lista sem processoNinguém sabe quem atualiza, aprova ou consulta durante um incidente.
- Publicação por reflexoConfunde capacidade de fornecimento com exposição pública de informação.
- Dependência sem decisãoO alerta é encontrado, mas não existe critério de alcance, risco e remediação.
06 • verificação
Fontes oficiais
A SBOM é uma parte do sistema de evidências. Formato, escopo, compartilhamento e controles devem ser definidos para o produto e o contexto reais.