Gérer les composants inconnus ou à qualifier

Réponse courte

Traitez un composant inconnu comme une information à vérifier, sans inventer sa version ou sa provenance.

Disponibilité produit : À confirmer pour le rejeu d’interface ; méthode utilisable sur les données accessibles. Les modules et commandes dépendent de l’édition et des permissions ; libellés à confirmer lorsque la recette n’est pas réalisée.

Préparer la démarche

Travaillez sur un produit et une version identifiés, avec les personnes habilitées et des sources partageables. Les étapes ci-dessous organisent le travail humain ; elles ne promettent pas un workflow automatique supplémentaire.

Étapes et décisions

1. Repérez les composants non confirmés ou insuffisamment décrits dans le produit.
2. Cherchez la source : SBOM, dépôt, architecture ou interlocuteur fournisseur autorisé.
3. Vérifiez nom, identifiant, version, écosystème et usage ; plusieurs versions peuvent être légitimes.
4. Confirmez ou rejetez la proposition selon la présence réelle, puis ajoutez le contexte manquant.
5. Attribuez les informations impossibles à établir à un responsable avec une prochaine date de revue.

Résultat attendu

Les inconnues sont visibles et prises en charge.

Limites et récupération

Remplacer une valeur inconnue par la dernière version publique peut produire une fausse absence de vulnérabilité. Si une information manque, attribuez sa vérification et conservez l’incertitude plutôt que de la remplacer par une hypothèse non signalée.

Articles liés

• ajouter un composant
• comprendre les niveaux de detail des composants

Article issu de la base de connaissance CRA Manager.