Classification des licences et résolution des licences de composants dans l’espace de Nomenclature logicielle travail

Classez les licences et résolvez-les (associez-les) à des composants, ou créez des licences dans le module Administration de licences de l’espace SBOM de travail. La classification et l’association des licences à vos composants vous permettent de déterminer la conformité de votre licence pour les composants logiciels propriétaires, open source et fournis par le fournisseur que vous chargez dans vos SBOM fichiers.

Données de licence et logiciels tiers

Au fur et à mesure que les organisations construisent davantage leurs propres applications logicielles, elles utilisent des composants open source et des logiciels fournis par des fournisseurs. L’utilisation de composants tiers et open source vous offre de nombreux avantages pour la création et la publication rapides de vos projets logiciels, cependant, l’utilisation de ces composants comporte des risques de licence :

• Les composants logiciels open source et fournis par les fournisseurs ont parfois des dépendances à d’autres composants, et chaque composant peut avoir ses propres exigences en matière de licence.
• Si vous ne respectez pas les termes de vos licences pour les composants et les logiciels de vos applications, vous risquez de diffuser par inadvertance du code qui enfreint vos politiques internes et vos exigences réglementaires en matière de gestion des licences.

Module Administration de licences

Le module Administration de licence de l’espace de travail SBOM vous permet d’effectuer les tâches suivantes.

• Classez les licences qui l’exigent pour les composants que vous chargez avec vos SBOM fichiers.
• Résolvez chaque licence que vous classifiez en un composant spécifique.
• Voyez quel pourcentage des composants que vous utilisez ne sont pas conformes sur une visualisation de données sur la page d’accueil. Vous pouvez utiliser ces informations pour vous aider à déterminer votre posture de sécurité globale et l’exposition potentielle aux risques.

Si les SBOM fichiers que vous chargez incluent des informations de licence, la base de données de licences s’agrandit automatiquement au fur et à mesure que des licences uniques sont observées sur chaque chargement SBOM. Avec chaque chargement SBOM, vous pouvez créer une base de données de licences téléchargées, puis les classer si nécessaire avec le module Administration de licences de l’espace SBOM de travail. Vous créez un inventaire des licences afin de pouvoir les affecter à des composants après les avoir classés dans l’une des catégories suivantes :

• Autorisé
• Restreint
• Interdit
• Non classifié

Le personnel juridique, les gestionnaires de licences, les responsables de la conformité et les responsables de la réglementation effectuent des tâches dans le module Administration de licences.

Affichage des données de licence chargées

Vous disposez des options suivantes pour afficher toutes les informations de licence que vous avez téléchargées avec vos composants dans l’espace de travail SBOM.

• Accédez à la Espaces de travail > Espace de travail SBOM > Composants.
  Sur la page Composants, la carte Classification de licence des composants affiche une visualisation de la conformité globale de votre licence avec les catégories suivantes.

  Catégorie	Description
  Interdit	L’utilisation sous licence n’est pas autorisée.
  Classification requise	La licence n’est pas encore classifiée et nécessite un examen.
  Autorisé	L’utilisation sous licence est autorisée sans restriction.
  Restreint	L’utilisation sous licence n’est pas autorisée dans des cas d’utilisation spécifiques.

  Cet instantané utilise les classifications et les informations de licence résolues que vous entrez dans le module Administration de licences pour calculer la conformité globale de votre licence.

  Si vous sélectionnez un enregistrement de composant dans cette liste, vous pouvez afficher les informations de licence du composant ainsi que d’autres informations dans le champ État.

• Vous pouvez également accéder à Espaces de travail > Espace de travail SBOM > Administration de licences > Classification de licence.
  Cette page suit le nombre total de licences uniques qui ont été détectées à partir des fichiers SBOM que vous avez chargés. Il les filtre également dans des cartes en haut de la page dans les catégories suivantes.

  • Non classifié : la licence nécessite un examen et une classification.
  • Interdit : l’utilisation de la licence n’est pas autorisée.
  • Restreint : la licence n’est pas autorisée dans des cas d’utilisation spécifiques.
  • Autorisé : l’utilisation de la licence est autorisée sans restriction.
  • Toutes les licences : nombre total de licences.

  Tous les composants de votre organisation utilisent l’une des licences répertoriées sur cette page. Lorsqu’une nouvelle licence est détectée à partir d’un chargement SBOM, un enregistrement est créé et stocké dans la table Licence SBOM [sn_sbom_license] et ajouté à cette liste. Sa classification par défaut est Classification requise. Les enregistrements de licence dans cet état doivent être examinés et classés avant de pouvoir les résoudre (les associer) aux composants afin que la conformité globale de votre licence soit calculée avec précision.

  Pour plus d’informations sur la classification des licences, reportez-vous à la section Classer les licences importées dans l’espace de Nomenclature logicielle travail.

Rôles

Les nouvelles licences doivent être classées par un utilisateur disposant du rôle sn_sbom_response.managelicense. Cet utilisateur consulte les informations de licence téléchargées et détermine quelles licences sont autorisées et lesquelles sont interdites. Les utilisateurs disposant de ce rôle ne peuvent pas afficher le module de résolution de licence de composant à moins d’avoir le rôle sn_sbom_response.licenseresolver.

Après la classification, les licences doivent être résolues par un utilisateur disposant du rôle sn_sbom_response.licenseresolver afin que la conformité globale de votre licence puisse être déterminée. Cet utilisateur résout les licences en composants. Les utilisateurs disposant de ce rôle ne peuvent pas afficher le module de classification de licence à moins d’avoir le rôle sn_sbom_response.managelicense.

La classification des nouvelles informations de licence est un processus continu. Vous préférerez peut-être garder le nombre total affiché sur la carte Non classé bas. En tant que gestionnaire de licences, vous préférerez peut-être rechercher les licences qui doivent être classées tous les quelques jours et après avoir chargé des fichiers SBOM.

En tant que résolveur de licences, vous préférerez peut-être vérifier les licences classifiées mises à jour tous les quelques jours.