Sécurité produit et PSIRT pour ce que vous avez livré
De « nous avons du firmware quelque part » à un flux CRA vivant : inventaire, scan, triage, horodatage de prise de connaissance, et paquet prêt pour le SRP.
Le problème
- Pas d'inventaire vivant de ce qui a été mis sur le marché, version par version
- Les scans déversent des milliers de CVE sans décisions de triage
- Impossible de répondre en quelques minutes « est-ce activement exploité dans une version livrée ? »
- Horloge article 14 (11 sept. 2026) sans horodatage de prise de connaissance ni paquet prêt pour le SRP
Ce qu'alloy-it change
- Créez des produits et attachez des SBOM pour les versions livrées
- Scan continu renouvelé avec alertes élevées/critiques vers la boîte PSIRT
- Triage au niveau composant avec justification et historique
- Superposition KEV / EUVD, horodatage de prise de connaissance, et payload article 14 JSON à copier
Le résultat
- Une réponse défendable à « la CVE X apparaît-elle dans un produit que nous avons déjà livré ? »
- Horloge de prise de connaissance prête pour la notification ENISA / CSIRT de sept. 2026
- Dossier de preuves pour les évaluateurs et questionnaires acheteurs
- Chemin de reconstruction lorsqu'un correctif doit être livré des années plus tard
Soyez prêts pour l'article 14
Commencez par un inventaire produit, ou réservez une démonstration CRA pour votre équipe PSIRT.