Construire une première cartographie sans SBOM

Réponse courte

Commencez par une cartographie explicite et limitée, puis améliorez-la avec des sources techniques.

Disponibilité produit : À confirmer pour le rejeu d’interface ; méthode utilisable sur les données accessibles. Les modules et commandes dépendent de l’édition et des permissions ; libellés à confirmer lorsque la recette n’est pas réalisée.

Préparer la démarche

Travaillez sur un produit et une version identifiés, avec les personnes habilitées et des sources partageables. Les étapes ci-dessous organisent le travail humain ; elles ne promettent pas un workflow automatique supplémentaire.

Étapes et décisions

1. Décrivez le produit, sa version, ses fonctions et son architecture générale.
2. Listez les briques connues avec leurs sources : framework, base, services, firmware ou bibliothèque.
3. Utilisez un modèle de stack uniquement comme aide ; confirmez chaque suggestion réellement présente.
4. Ajoutez les composants manquants et marquez les versions non établies plutôt que les inventer.
5. Planifiez un SBOM ou une vérification technique pour les dépendances transitives et les zones inconnues.

Résultat attendu

Un premier inventaire devient exploitable sans prétendre être exhaustif.

Limites et récupération

La cartographie manuelle n’équivaut pas à un SBOM complet et n’est pas disponible comme scan en CRA Light. Si une information manque, attribuez sa vérification et conservez l’incertitude plutôt que de la remplacer par une hypothèse non signalée.

Articles liés

• cartographier une stack produit
• importer un sbom

Article issu de la base de connaissance CRA Manager.