قبل طلب SBOM
- حدد المنتجات والإصدارات والبيئات التي يغطيها جرد المكونات.
- اختر نظاماً يستقبل SPDX أو CycloneDX ويربط السجلات بالأصول.
- وزع التحليل بين المشتريات والأمن والتشغيل ومالك الخدمة.
- ضع قواعد للمكونات المملوكة والمفتوحة والتجارية والتبعيات المتداخلة.
من دون عملية استهلاك، يصبح المستند مرفقاً بالعقد ويتقادم بعد أول تحديث.
متطلبات المورد
- يمثل SBOM الإصدار المسلّم ويستخدم تنسيقاً مقروءاً آلياً ومعرفات ثابتة.
- يتضمن علاقات التبعيات وإصدار التنسيق والتاريخ ومنشئ المستند.
- يحدد تكرار التحديث وقناة تسليم النسخة الجديدة.
- توجد قناة للإفصاح وأهداف للاستجابة وقواعد لإبلاغ العميل.
- يشرح المورد كيف ترتبط بيانات VEX بالإصلاح أو الحد من المخاطر.
يكمل VEX قائمة SBOM بتحديد ما إذا كانت الثغرة تؤثر في المنتج ولماذا. ولا يكفي وضع «غير متأثر» بلا مبرر.
فحوص القبول
- يطابق الجرد البناء المثبت فعلاً لا عائلة المنتج كلها.
- تحمل المكونات إصدارات ومعرفات مناسبة للأتمتة.
- تمر ثغرة اختبارية من الاكتشاف إلى القرار والإشعار.
- يصل SBOM جديد مع كل إصدار ويرتبط بسابقه.
- يميز الفريق وجود CVE عن قابلية الاستغلال في الإعداد الفعلي.
التشغيل بعد العقد
أدخل بيانات SBOM في إدارة الأصول والثغرات لا في أرشيف مستندات. راقب CVE وVEX وتنبيهات المورد، وقارن الجرد بالتثبيت، واختبر قناة الاتصال دورياً.
قس نسبة الأصول ذات SBOM حديث، ووقت تصنيف الثغرة، والمكونات بلا إصدار، ووقت الحصول على الإصلاح. بذلك يتحول شرط الشراء إلى رقابة تشغيلية.