Diffusion et confidentialité
Ce que le règlement impose — et n’impose pas
Impose : que le SBOM figure dans le dossier technique, tenu à la disposition des autorités de surveillance du marché.
N’impose pas : sa publication, ni sa communication systématique aux clients.
Prévoit toutefois : que les informations à l’utilisateur indiquent, le cas échéant, l’endroit où le SBOM peut être obtenu (annexe II). La formulation suppose donc d’avoir tranché la question et de savoir répondre.
Le débat : le SBOM aide-t-il l’attaquant ?
L’argument avancé contre la publication est qu’un SBOM révèle la composition exacte du produit et facilite le ciblage. Il mérite d’être examiné, pas balayé.
Ce qui l’affaiblit :
- un attaquant motivé détermine la composition d’un binaire par analyse, sans votre aide ;
- les vulnérabilités des composants sont publiques par construction ;
- l’asymétrie joue en votre défaveur si vous ne connaissez pas votre propre composition aussi bien que l’attaquant.
Ce qui le renforce :
- un SBOM public daté permet de repérer les produits non mis à jour ;
- il facilite le ciblage de masse par balayage automatisé du marché ;
- il peut révéler des informations couvertes par le secret des affaires — architecture, fournisseurs, choix techniques.
Position raisonnable : le SBOM n’est pas un secret, mais sa diffusion large sans VEX associé est une mauvaise pratique. Publier un inventaire brut sans dire ce qui est exploitable transfère le bruit à vos clients.
Les niveaux de diffusion
| Niveau | Destinataire | Quand |
|---|---|---|
| Interne | Équipes, plateforme de pilotage | Toujours |
| Autorités sur demande | Surveillance du marché, organisme notifié | Obligatoire |
| Client sous accord de confidentialité | Grand compte, secteur régulé | Sur demande contractuelle |
| Client via portail authentifié | Base installée | Politique standard recommandée |
| Public | Tous | Décision explicite, produit par produit |
Le niveau « portail authentifié » est le bon équilibre par défaut : il satisfait la demande légitime des clients, trace les accès, et permet de fournir le SBOM accompagné des VEX et des avis, ce qui est bien plus utile qu’un inventaire seul.
Les clauses contractuelles
Côté client, ce qui doit être écrit :
- le format et la version fournis ;
- la profondeur couverte, et la déclaration honnête de complétude ;
- la fréquence de mise à jour — par version livrée, ou à intervalle défini ;
- les modalités d’accès : portail, sur demande, avec ou sans authentification ;
- la confidentialité et l’interdiction de rediffusion ;
- l’articulation avec les avis de sécurité et les VEX.
Côté fournisseur, les clauses symétriques que vous exigez figurent dans Clauses contractuelles.
La confidentialité côté autorités
Le règlement encadre l’usage des informations obtenues par les autorités, les organismes notifiés et l’ENISA : elles sont traitées dans le respect des secrets d’affaires et des droits de propriété intellectuelle, et ne sont utilisées que dans la mesure nécessaire à l’exercice de leurs missions.
Cela ne dispense pas de marquer explicitement les documents transmis et de tracer les échanges.
La matrice décisionnelle
| Critère | Vers la restriction | Vers l’ouverture |
|---|---|---|
| Nature du produit | Composant de sécurité, produit critique | Produit grand public |
| Base installée | Petite et identifiée | Large et anonyme |
| Demande client | Absente | Contractuelle et récurrente |
| Maturité de vos VEX | Faible : publier créerait du bruit | Élevée : publier réduit les sollicitations |
| Positionnement | Le secret de composition est un avantage | La transparence est un argument commercial |
La décision est prise par produit, documentée, et revue annuellement. Elle est de la compétence conjointe du Juridique et de la direction produit, pas de l’ingénierie seule.