Vai al contenuto

Il tuo primo report CRA

Il Cyber Resilience Act (Regolamento 2024/2847) richiede gestione delle vulnerabilità, SBOM, aggiornamenti e documentazione. yocman cra report raccoglie evidenze di build, senza certificare la conformità.

Dalla directory di una build completata:

yocman cra report

Riordina cve, secrets, sbom, licenses, services, users, perms e kernel-audit per area CRA. Stati: Nessuna lacuna, Da verificare, Lacuna, Nessuna evidenza se manca una fonte, Manuale se la build non basta.

Report da allegare al fascicolo

yocman cra report --format md -o cra.md
yocman cra report --format json -o cra.json
yocman cra report --fail-on high

Markdown per il fascicolo, JSON per la CI. L’ultimo comando restituisce 1 per lacune alte o critiche.

Limiti delle evidenze

Due aree restano sempre Manuali:

  • Meccanismo di aggiornamento: firma, rollback e distribuzione. Rileva framework OTA come SWUpdate, RAUC, OSTree e Mender, ma devi documentarne il funzionamento.
  • Politica di divulgazione, contatto e documentazione utente.

Dati mancanti

cve-check, create-spdx e buildhistory producono dati solo se attivati. yocman doctor indica fonti mancanti e come attivarle. Il report mostra le stesse lacune.