Réponse courte
La composition relie des produits existants et permet de consulter leurs objets depuis un intégrateur. Les données restent propriétaires de leur produit source et sont héritées en lecture seule.
Disponibilité produit : Disponible en édition complète. CRA Light ne propose pas cette fonction.
Objectif et périmètre
Utilisez la composition lorsqu’un même logiciel, micrologiciel ou équipement entre dans plusieurs produits commercialisés. Par exemple, « Boîtier Démo » intègre « Firmware Démo » et « Module communication Démo ». Un autre boîtier peut réutiliser le firmware sans créer un deuxième inventaire de ses vulnérabilités.
Une bibliothèque dans un SBOM reste un composant. La composition concerne des fiches produit autonomes ; elle ne remplace ni l’inventaire logiciel ni une décision sur le champ d’application du CRA.
Droits et prérequis
Vous devez pouvoir consulter le produit intégrateur et chaque produit source. Pour modifier les relations, votre rôle doit permettre la contribution. L’édition complète et les droits sur les entités juridiques des deux produits restent nécessaires. Une composition ne vous donne aucun accès supplémentaire.
Des produits de deux entités juridiques de la même organisation peuvent être reliés seulement si vous avez accès aux deux périmètres. Un produit d’une autre organisation n’est jamais proposé. Les relations auxquelles vous n’avez pas accès ne sont pas révélées par la modale.
Les deux vues de la modale
Depuis une fiche produit, cliquez sur Composition, dans l’en-tête. La modale Composition du produit contient :
- Produits intégrés : les produits directement inclus dans le produit courant. Vous gérez les relations ici.
- Utilisé dans : les produits accessibles qui intègrent le produit courant. Pour changer une relation inverse, ouvrez l’intégrateur et modifiez sa composition.
La composition ne constitue pas un onglet supplémentaire dans le parcours CRA. Dans la création ou la modification d’un produit, le sélecteur utilise la même recherche.
Construire puis vérifier la composition
- Ouvrez le produit qui intègre les autres produits.
- Cliquez sur Composition, puis Sélectionner des produits.
- Utilisez Rechercher un produit. Si la recherche indique « 30 résultats maximum. Précisez votre recherche. », réduisez le périmètre du nom.
- Sélectionnez les produits pertinents. Vérifiez les noms, surtout si plusieurs versions ou gammes ont des noms proches.
- Cliquez sur Enregistrer la composition et attendez Composition enregistrée.
- Fermez la modale, puis consultez les objets hérités dans l’onglet métier approprié. Une modification de la sélection sans enregistrement ne constitue pas une relation persistée.
Le sélecteur est fermé initialement. La touche Échap ferme d’abord la recherche, puis la modale lors d’un second appui. La lecture seule permet d’observer les relations sans les modifier.
Propriété et héritage récursif
Les composants, points de sécurité à vérifier, vulnérabilités CRA formelles, risques, actions et métadonnées de preuves peuvent apparaître dans les tables d’objets hérités. Leur Produit source demeure identifiable. Utilisez Ouvrir le produit source pour consulter ou modifier l’objet, si vos droits le permettent.
Si A intègre B et B intègre C, A peut consulter les objets accessibles de C. Si deux chemins conduisent au même produit, un même objet source n’est pas dupliqué. Les relations circulaires et l’intégration d’un produit dans lui-même sont refusées.
Les fichiers de preuve ne sont pas copiés. Un téléchargement reste autorisé sur le produit source. Une preuve visible dans la projection n’autorise pas à rendre son fichier public ou à contourner un refus d’accès.
Ce qui reste propre à l’intégrateur
La qualification et la classification CRA, le rôle économique, la période de support, le risque CRA estimé, le score de complétude CRA, le niveau de confiance, les scans, les décisions ENISA, le dossier technique et les journaux d’audit ne sont pas hérités automatiquement.
Une vulnérabilité héritée n’entraîne donc pas de déclaration ENISA automatique pour l’intégrateur. L’équipe doit examiner son effet sur chaque produit et prendre une décision documentée. L’export SBOM existant et les compteurs propres ne doivent pas être interprétés comme une consolidation récursive de toute la composition.
Retirer une relation et gérer les sources archivées
Retirer la relation puis Enregistrer la composition détache une source ; cela ne supprime ni sa fiche ni ses objets. Une source déjà archivée demeure traçable dans les relations existantes, avec l’indication Source archivée. Elle n’est plus proposée pour une nouvelle intégration.
Les projections sont relues lors du chargement suivant. Une modification sur la source n’est pas une mise à jour en temps réel de tous les onglets déjà ouverts. Rechargez la fiche si nécessaire.
FAQ et récupération
Le produit attendu est absent. Précisez la recherche, vérifiez son archivage, votre organisation et vos droits sur son entité. Le produit courant et les candidats qui formeraient un cycle sont exclus.
Le score ne change pas. C’est cohérent avec ce périmètre : la composition ne calcule pas de score agrégé.
L’enregistrement échoue. Conservez les noms des relations souhaitées, rechargez puis vérifiez l’état réellement enregistré avant de recommencer. Un autre contributeur a pu modifier le graphe. Si le refus persiste, demandez une vérification des droits sans élargissement arbitraire des accès.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article