Un inventaire des composants améliore la visibilité, mais il doit être relié aux versions déployées, aux vulnérabilités, à la provenance et aux décisions de traitement.
Ce que l’inventaire apporte
Identifier composants, versions, relations et fournisseurs facilite l’analyse d’une vulnérabilité et le dialogue entre producteur et consommateur.
Ce qu’il ne prouve pas
Un SBOM ne démontre ni l’absence de vulnérabilité, ni la sécurité de la configuration, ni l’intégrité du pipeline, ni l’exploitabilité dans le contexte.
Processus
- Générer au plus près de la construction.
- Associer l’artefact exact et sa version.
- Valider format, complétude et cohérence.
- Contrôler accès et diffusion selon la sensibilité.
- Relier aux avis, correctifs et exceptions.
- Mettre à jour à chaque version pertinente.
Fournisseurs
Définissez les informations nécessaires, leur fréquence, le canal de partage et la manière dont une vulnérabilité sera coordonnée.
Prioriser
Combinez présence du composant, chemin d’exécution, configuration, exposition, exploitation observée et impact métier.
Sources officielles
Sources relues le 2026-07-15.