Kit de herramientas OCCTET
OCCTET ayuda a las pymes y a los equipos de código abierto a entender su preparación para el CRA, analizar las dependencias de su software y documentar sus decisiones de seguridad. Empieza con un producto o un repositorio, revisa los resultados y crea un proceso repetible.
Puedes usar la autoevaluación y las guías prácticas por separado, o combinar ORT Server y OCCTET Curator para analizar y revisar tu software.
La autoevaluación ayuda a prepararse y a fijar prioridades. No es una certificación ni una evaluación formal de la conformidad.
Elige un repositorio que represente un producto que mantienes. Para una primera prueba, un proyecto pequeño con un sistema de compilación que conozcas facilita la interpretación de los resultados.
Ten a mano la siguiente información:
Antes de analizar código confidencial en un servicio alojado, acuerda con el equipo las condiciones de acceso y de tratamiento de los datos. Usa la configuración de credenciales que ofrece el servicio en lugar de enviar contraseñas o tokens por correo electrónico.
Las instancias alojadas de ORT Server y del Curator requieren una cuenta. Contacta con el equipo de OCCTET para solicitar acceso y confirmar las condiciones disponibles para tu proyecto.
Indica tu organización, las herramientas que quieres probar, las tecnologías de tu proyecto y si el repositorio es público o privado. No incluyas credenciales.
Si prefieres gestionar tu propia infraestructura, sigue las instrucciones de instalación de ORT Server y OCCTET Curator. El procedimiento de instalación completo estará disponible próximamente en el entregable D4.1 – Instalación lista para usar.
Para una instalación integrada, asegúrate de que el Curator puede conectarse a ORT Server. La configuración necesaria depende de las versiones y del despliegue que utilices.
Cuando tu acceso y la configuración del repositorio estén listos:
El tiempo de procesamiento y la cobertura dependen del repositorio, del sistema de compilación y de la configuración. Un análisis terminado puede contener aún problemas de análisis, así que comprueba que los componentes relevantes para tu producto se han resuelto correctamente.
Tu primer hito
Un análisis de una revisión conocida, con su inventario de dependencias y las limitaciones del análisis registradas.
Lleva los resultados del análisis al Curator mediante la integración configurada en tu despliegue. Revisa los componentes, la información de licencias y los hallazgos de vulnerabilidades.
Para cada hallazgo importante:
Un hallazgo de vulnerabilidad es un punto de partida para la revisión. No significa automáticamente que la vulnerabilidad sea explotable en tu producto.
Cuando sea posible, usa declaraciones VEX para documentar si una vulnerabilidad conocida afecta al producto y por qué. Revisa las sugerencias de la IA antes de aceptarlas.
Tu segundo hito
Una lista priorizada de acciones y un registro de las decisiones tomadas.
Usa las exportaciones disponibles en tu despliegue para conservar el inventario de software y los hallazgos revisados. ORT Server permite generar SBOM; el Curator ofrece funciones de revisión y exportación.
Comprueba qué formatos SBOM y VEX admite tu versión instalada. Guarda los archivos exportados junto con:
Estos registros pueden respaldar tu documentación técnica y tus conversaciones con clientes o proveedores. Forman parte de un proceso de cumplimiento más amplio.
Repite el análisis cuando cambien las dependencias, antes de las versiones relevantes y con una frecuencia adecuada al riesgo de tu producto. Los nuevos avisos de seguridad pueden afectar a un código que no ha cambiado.
Asigna quién revisa los hallazgos y mantiene las evidencias al día. Usa las plantillas de política de actualización de dependencias y de gestión de vulnerabilidades para establecer una rutina sencilla.
| Lo que observas | Lo que debes comprobar |
|---|---|
| No puedes iniciar sesión | Confirma que se han creado tu cuenta y tus permisos. |
| No se puede acceder a un repositorio | Comprueba su URL y las credenciales configuradas para el repositorio. |
| No se pueden resolver las dependencias | Comprueba la compatibilidad del gestor de paquetes, el acceso a los registros y los registros del análisis. |
| Faltan resultados en el Curator | Comprueba la conexión con ORT Server, los permisos y el análisis seleccionado. |
| Una exportación no está disponible | Confirma los formatos y funciones que admite tu versión. |
Cuando contactes con el equipo, indica la herramienta, el identificador del repositorio o del proyecto, el identificador de la ejecución si lo tienes y un mensaje de error sin datos sensibles.
English
Français
Deutsch
Español
Italiano
