பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத மறையீட்டுப் பொருட்பட்டியல்

வங்கியியலில் உள்ள ஒவ்வொரு பிந்தைய குவாண்டம் திட்டவரைபடமும், இல்லாத ஒரு சரக்குப் பட்டியலை முன்வைத்தே கட்டப்பட்டிருக்கிறது. திட்டங்கள் எழுதப்பட்டுவிட்டன, வழிநடத்தல் குழுக்கள் கூடுகின்றன, மதிப்பீட்டு அட்டைகள் அம்பர் நிறத்தில் நிற்கின்றன. இவை அனைத்துக்கும் அடியில் ஒரு அனுமானம் உள்ளது: வங்கி மறையீட்டுச் செயல்பாட்டை நிகழ்த்தும் ஒவ்வொரு இடத்தையும் — எந்த வழிமுறை, எந்த சாவி நீளம், எந்த நூலகம், எந்த சான்றிதழ், எப்போது காலாவதியாகும் — எங்கோ யாரோ ஒருவர் பட்டியலிட்டுத் தர முடியும் என்பது. கிட்டத்தட்ட எந்த நிறுவனத்தாலும் அது முடியாது. NCSC-இன் முதல் மைல்கல் இடம்பெயர்வு மைல்கல் அல்ல: அது 2028-இல் நிறைவடைய வேண்டிய கண்டறிதல் மைல்கல் — யாரும் செலவுக் கணக்கிடாத ஒன்று.

செயற்குழுச் சுருக்கம்

• வரிசை இதுதான்: கண்டறிதல், பின் நெகிழ்திறன், பின் இடம்பெயர்வு. NCSC வழிகாட்டுதல் 2028-இல் ஒரு வரையறுக்கப்பட்ட கண்டறிதல் மைல்கல்லையும், 2031-இல் அதிக முன்னுரிமை இடம்பெயர்வையும், 2035-க்குள் நிறைவையும் நிர்ணயிக்கிறது. பட்டியலிடும் முன்பே இடம்பெயரத் தொடங்கும் நிறுவனம், தனக்குத் தற்செயலாகத் தெரிந்த அமைப்புகளை மட்டுமே நகர்த்தும்.
• உங்களிடம் இருக்கும் பதிவேடு, இப்போது நீங்கள் எதிர்கொள்ளும் கேள்விக்குப் பதிலளிக்காது. ICT சொத்துகளை அடையாளம் காணவும், வகைப்படுத்தவும், ஆவணப்படுத்தவும், அவற்றின் ஒன்றுக்கொன்று சார்புகளை வரைபடமாக்கவும் DORA Article 8 நிதி நிறுவனங்களைக் கட்டாயப்படுத்துகிறது. ஒரு மறையீட்டுப் பண்பைக்கூட அது கோருவதில்லை; எனவே Article 8-க்கு முழுமையாக இணங்கும் ஒரு பதிவேடு நிறைவானதாக இருந்தும் மறையீட்டு நெகிழ்திறன் திட்டமிடலுக்குப் பயனற்றதாக இருக்கும்.
• தரநிலை ஏற்கெனவே உள்ளது. மறையீட்டுச் சொத்துகள் — சாவி அளவு, முறை, வளைவுடன் கூடிய வழிமுறைகள்; சாவிகள்; சான்றிதழ்கள்; நெறிமுறைகள் — ECMA-424 ஆக வெளியிடப்பட்ட CycloneDX-இல் குறிக்கத்தக்கவை. இது ஒரு திட்டவரைவுக் கேள்வி, கொள்முதல் கேள்வி அல்ல.
• கடினமான கால்பங்கை ஸ்கேன் செய்யும் உரிமை உங்களிடம் இல்லை. வன்பொருள் பாதுகாப்புத் தொகுதிகள், கட்டணக் கருவிகள், விற்பனையாளர் உட்பொதித்த நூலகங்கள், SaaS வழங்குநர்கள் — இவற்றை நோக்கி ஒரு ஸ்கேனரைத் திருப்பினால் பட்டியல் வராது. சரக்குப் பட்டியலின் அந்தப் பகுதி ஒப்பந்த உறுதிமொழியிலிருந்து கட்டப்படுகிறது; திட்டவரைபடம் உருவாகும் முன்பே அந்த விதி ஒப்பந்தத்தில் இருக்க வேண்டும்.

யாரும் செலவுக் கணக்கிடாத காலக்கெடு

வெளியிடப்பட்ட இடம்பெயர்வு காலவரிசைகளைக் கவனமாகப் படித்தால் வரிசைமுறை தெளிவாகிறது. தேசிய இணையப் பாதுகாப்பு மையத்தின் திட்டவரைபடம் கண்டறிதலை — எந்த அமைப்புகளும் சேவைகளும் மறையீட்டைச் சார்ந்துள்ளன என்ற முழுச் சித்திரத்தை — 2028-இல் வைக்கிறது, அதிக முன்னுரிமை இடம்பெயர்வு வேலையை 2031-இலும், அனைத்து அமைப்புகள், சேவைகள், தயாரிப்புகள் முழுவதும் நிறைவை 2035-இலும் வைக்கிறது. NIST-இன் மாறுதல் அறிக்கையான IR 8547 இணக்கமான பாதையில் ஓடுகிறது: RSA மற்றும் ECC உள்ளிட்ட குவாண்டம் தாக்குதலுக்கு பாதிப்புள்ள பொதுச்சாவி வழிமுறைகள் 2030-க்குப் பிறகு காலாவதியாக அறிவிக்கப்படுகின்றன, 2035-க்குப் பிறகு தடை செய்யப்படுகின்றன.

பெரும்பாலான வங்கித் திட்டங்கள் 2035-ஐயே அந்தத் தேதியாக உள்வாங்கியுள்ளன. திட்டமிடலைத் தொடங்குவதற்கு அது அட்டவணையின் தவறான முனை.

இரண்டு தேதிகள் மிக அதிக முக்கியத்துவம் பெறுகின்றன. முதலாவது 2028; ஏனெனில் கண்டறிதலே அதற்குப் பின்வரும் அனைத்துக்குமான உள்ளீடு — தெரியாத ஒரு பகுதிக்கு எதிராக ஒரு இடம்பெயர்வை நீங்கள் வரையறுக்கவோ, செலவிடவோ, வரிசைப்படுத்தவோ முடியாது. இரண்டாவது 2030; ஏனெனில் ஒழுங்குபடுத்தப்பட்ட நிறுவனத்தில் "காலாவதி" என்பது மென்மையான சொல் அல்ல: ஒரு வழிமுறையைத் தொடர்ந்து நம்பியிருப்பது யாரோ ஒருவர் கையொப்பமிட வேண்டிய முடிவாக மாறும் புள்ளி அது.

இன்றிலிருந்து 2028 வரை முப்பது மாதங்களுக்கும் குறைவே உள்ளன. பெரும்பாலான நிறுவனங்கள் தொடங்கியேயில்லாத ஒரு திறனைக் கட்டியெழுப்ப அது ஒன்று, அல்லது அதிகபட்சம் இரண்டு, நிதியாண்டு சுழற்சிகள்.

உங்கள் DORA பதிவேடு மறையீட்டைத் தவிர அனைத்தையும் பதிவு செய்கிறது

மக்களை வியப்பில் ஆழ்த்தும் பகுதி இதுதான். பெரும்பாலான பெரிய ஐரோப்பிய வங்கிகள் ஏற்கெனவே ICT சொத்துகளின் விரிவான, தவறாமல் மறுஆய்வு செய்யப்படும் சரக்குப் பட்டியலைப் பராமரிக்கின்றன; ஏனெனில் DORA அவற்றைக் கட்டாயப்படுத்துகிறது.

Regulation (EU) 2022/2554-இன் Article 8, ICT ஆதரவுடன் இயங்கும் அனைத்து வணிகச் செயல்பாடுகளையும், அவற்றைத் தாங்கும் தகவல் மற்றும் ICT சொத்துகளையும், ICT இடர் தொடர்பான அவற்றின் பங்குகளையும் சார்புகளையும் அடையாளம் காணவும், வகைப்படுத்தவும், போதுமான அளவு ஆவணப்படுத்தவும் நிதி நிறுவனங்களைக் கோருகிறது — மேலும் அந்தச் சொத்துகளின் உள்ளமைவையும் அவற்றுக்கிடையிலான இணைப்புகளையும் வரைபடமாக்கி, தொடர்ந்து மறுஆய்வில் வைக்கவும் கோருகிறது.

அது ஒரு தீவிரமான சரக்குப் பட்டியல். அதே நேரத்தில் இந்தப் பிரச்சினைக்கு அது தவறான வடிவமும்கூட.

அட்டவணை 1: உங்களிடம் உள்ள பதிவேடும், 2028 மைல்கல் கோரும் பதிவேடும்

கடைசி வரிசையே முழு வாதம். ஒரு நிறுவனம் Article 8-க்கு முழுமையாக இணங்கி, பரிசோதனையில் தேறி, இருந்தும் "2030-இல் நமது எத்தனை அமைப்புகள் உடையும்" என்பதற்கு ஒரு கண்டறிதல் திட்டத்தை முதலிலிருந்து தொடங்காமல் பதிலளிக்க முடியாமல் இருக்கும்.

இது DORA மீதான விமர்சனம் அல்ல. மீள்திறன் மற்றும் செறிவுக் கேள்விகளுக்குப் பதிலளிக்கவே Article 8 எழுதப்பட்டது, அவற்றுக்கு அது நன்றாகவே பதிலளிக்கிறது. மறையீட்டு நெகிழ்திறன் கேள்விக்குப் பதிலளிக்க அது எழுதப்படவில்லை — அவ்வளவுதான். தனித்தனி குழுக்கள் வைத்திருக்கும் தனித்தனி விரிதாள்களாக இயங்குவதற்குப் பதிலாக இரு பதிவேடுகளும் இணைக்கப்பட வேண்டும்.

CBOM உண்மையில் என்ன கொண்டுள்ளது

மறையீட்டுப் பொருட்பட்டியல் என்பது ஓர் அமைப்பில் உள்ள மறையீட்டுச் சொத்துகளின் — வழிமுறைகள், சாவிகள், சான்றிதழ்கள், நெறிமுறைகள், மற்றும் அவற்றைப் பயன்படுத்தும் மென்பொருள் கூறுகளுடனான அவற்றின் உறவுகளின் — முறையான சரக்குப் பட்டியல்.

முக்கியமான கட்டமைப்புக் குறிப்பு: இது புதிய கோப்பு வடிவம் அல்ல. மறையீட்டுச் சொத்து ஆதரவு, OWASP ஆதரவுடன் இயங்கும் பொருட்பட்டியல் விவரக்குறிப்பான CycloneDX-க்குள் பங்களிக்கப்பட்டது; அது Ecma International தரநிலையான ECMA-424 ஆக வெளியிடப்பட்டுள்ளது. எனவே CBOM என்பது மறையீட்டுப் புலங்கள் நிரப்பப்பட்ட ஒரு CycloneDX ஆவணம். அது அதே திட்டவரைவுடன் சரிபார்க்கப்படுகிறது, அதே குழாய்வழிகள் வழியே நகர்கிறது, விநியோகச் சங்கிலி நோக்கங்களுக்காக ஒரு நிறுவனம் ஏற்கெனவே தயாரிக்கும் SBOM-கள் சேரும் அதே கலைப்பொருள் பதிவேட்டிலேயே சேர்கிறது.

இது கேட்பதைவிட அதிக முக்கியத்துவம் வாய்ந்தது. வெளிவரும் தரநிலைக்கும் தேங்கி நிற்கும் தரநிலைக்கும் இடையிலான வேறுபாடு, பொதுவாக அது புதிய குழாய்ப்பணியைக் கோருகிறதா என்பதில்தான் இருக்கிறது. இது கோருவதில்லை.

அட்டவணை 2: CBOM சொத்து வகுப்புகளும், ஒவ்வொன்றும் பதிலளிக்கும் இடம்பெயர்வுக் கேள்வியும்

கடைசி வரிசையே ஒரு சரக்குப் பட்டியலைத் திட்டமாக மாற்றுகிறது. வழிமுறைகளின் பட்டியல் பிரச்சினையின் அளவைச் சொல்கிறது. அவற்றைச் செயல்படுத்தும் கூறுகளுடன் இணைக்கப்பட்ட வழிமுறைகளின் பட்டியல் வேலையின் வடிவத்தைச் சொல்கிறது — ஓர் இடம்பெயர்வு வரிசை உண்மையில் அதிலிருந்தே கட்டப்படுகிறது.

கண்டறிதல் நான்கு பிரச்சினைகள், ஒன்றல்ல

கண்டறிதலை ஒற்றைப் பணித்தொடராகக் கருதுவதே இந்தத் திட்டங்கள் தோல்வியடையும் மிகப் பொதுவான வழி. இது நான்கு வேறுபட்ட பிரச்சினைகள் — நான்கு வெவ்வேறு கருவிகள், நான்கு வெவ்வேறு உரிமையாளர்கள், மிக வேறுபட்ட நம்பிக்கை நிலைகளுடன்.

1. மூலக்குறியீடு — குறியீடு எதைக் கேட்கிறது. உங்கள் சொந்தக் களஞ்சியங்கள் மீதான நிலையான பகுப்பாய்வு மறையீட்டு அழைப்புகளையும், நிரலில் பொதிக்கப்பட்ட அளவுருக்களையும், அழைக்கப்படும் நூலகங்களையும் கண்டுபிடிக்கிறது. திறந்த கருவிகள் உள்ளன: CBOMkit திட்டமும் அதன் SonarQube சொருகியும் மூலத்தில் மறையீட்டுச் சொத்துகளைக் கண்டறிந்து CycloneDX-ஐ வெளியிடுகின்றன. மிக உயர்ந்த நம்பிக்கை, மிகக் குறுகிய கவரேஜ் — நீங்கள் எழுதி இன்னும் கட்டமைக்கும் குறியீட்டை மட்டுமே அது பார்க்கிறது.

2. இருமங்களும் கொள்கலன்களும் — உண்மையில் என்ன அனுப்பப்படுகிறது. தொகுக்கப்பட்ட சார்பாக இழுக்கப்பட்டதையோ, அடிப்படைப் படிமத்தில் சுடப்பட்டதையோ மூலப் பகுப்பாய்வு தவறவிடுகிறது. கொள்கலன் மற்றும் கோப்புமுறைமை ஸ்கேனிங் அந்த இடைவெளியின் ஒரு பகுதியை மூடுகிறது. இரு பார்வைகளும் முரண்படும் என்று எதிர்பாருங்கள்; அந்த முரண்பாடே ஒரு கண்டுபிடிப்பு.

3. வலையமைப்பு — உண்மையில் என்ன பேரம் பேசப்படுகிறது. உள்ளமைவு என்பது ஓர் எண்ணம், ஒரு கண்காணிப்பு அல்ல. TLS 1.3-ஐ ஆவணப்படுத்தும் ஒரு சேவை, ஒருபோதும் மேம்படுத்தப்படாத உள்முக எதிர்தரப்புடன் இன்னும் பழையதொன்றை ஏற்கிறது என்பதை அறிய, தொகுதி முழுவதும் நேரடி TLS பேரத்தைச் செயலற்ற முறையில் கண்காணிப்பதே ஒரே வழி. ஒரு கட்டணத் தொகுதியில், அந்த எதிர்தரப்பே பெரும்பாலும் முக்கியமானது.

4. விற்பனையாளர் மற்றும் வன்பொருள் தொகுதி — நீங்கள் ஸ்கேனே செய்ய முடியாதது. வன்பொருள் பாதுகாப்புத் தொகுதிகள், கட்டண முனையங்கள், வலையமைப்புக் கருவிகள், மெயின்ஃபிரேம் துணை அமைப்புகள், சங்கிலியில் உள்ள ஒவ்வொரு SaaS வழங்குநரும். எந்த ஸ்கேனரும் இவற்றை எட்டுவதில்லை. இந்தக் கால்பங்கு ஒப்பந்தத்தின் கீழ் கேட்பதன் மூலமே பட்டியலிடப்படுகிறது; மொத்த வங்கியியலின் உண்மையான வெளிப்பாடு இங்குதான் குவிகிறது, ஏனெனில் தீர்வும் தீர்ப்பணிவும் செய்யும் அமைப்புகள் விகிதாசாரமற்ற அளவில் விற்பனையாளர்களால் வழங்கப்படுபவை.

நான்காவதையே இப்போது தொடங்க வேண்டும்; ஏனெனில் அதற்குத்தான் மிக நீண்ட முன்னோடிக் காலம் தேவை, மேலும் அது ஒரு பொறியியல் பணியும் அல்ல. அது ஒரு கொள்முதல் பணி: மறையீட்டு வெளிப்படுத்தல் மற்றும் மறையீட்டு நெகிழ்திறன் விதியை ஒப்பந்தத்திலும், புதுப்பித்தல் வார்ப்புருவிலும் சேர்ப்பது — அப்போதுதான் 2028-க்குள் பதில் ஒரு சலுகையாக அல்லாமல் ஒரு சப்ளையர் கடமையாக வந்து சேரும். அந்த விதி வார்ப்புருவில் இல்லாத ஒவ்வொரு காலாண்டும், பின்னர் மீண்டும் திறக்க வேண்டிய புதுப்பித்தல்களின் ஒரு காலாண்டு.

திட்டமாக அல்லாமல் கட்டுப்பாடாக ஆக்குதல்

வங்கிகள் சரக்குப் பட்டியலைத் தவிர்த்துவிடும் என்பது நான் பந்தயம் கட்டும் தோல்வி முறை அல்ல. அவை அதை ஒருமுறை மட்டும் ஒப்படைத்து, 2028-இல் ஒரு நியாயப்படுத்தக்கூடிய நிழற்படத்தை வழங்கி, பின் அது சிதைய விட்டுவிடும் என்பதே — ஏனெனில் அது ஒரு பராமரிக்கப்படும் கட்டுப்பாடாகக் கட்டப்படாமல், ஒரு பிந்தைய குவாண்டம் திட்ட வழங்கீடாக நிதியளிக்கப்பட்டது.

மறையீட்டுச் சரக்குப் பட்டியல் ஒரு சொத்துப் பதிவேட்டைவிட வேகமாகச் சிதைகிறது. சான்றிதழ்கள் சுழல்கின்றன. சார்பு தன்னியக்கத்தால் நூலகங்கள் மேம்படுத்தப்படுகின்றன. ஓர் அடிப்படைப் படிமம் மாறுகிறது, ஒரு முழு சேவையும் அமைதியாக வேறொரு TLS அடுக்கைப் பெறுகிறது. 2028-இல் எடுக்கப்பட்ட நிழற்படம் 2029-க்குள் கணிசமாகத் தவறாகிவிடும் — 2031 முன்னுரிமைப் பணி அதைச் சார்ந்திருக்கும் சரியான தருணம் அதுதான்.

மூன்று உறுதிமொழிகள் இதைத் தடுக்கின்றன.

கணக்கெடுப்பில் அல்ல, குழாய்வழியில் உருவாக்குங்கள். CBOM கட்டமைப்பால், SBOM-உடன் சேர்ந்து வெளியிடப்பட வேண்டும், மேலும் வெளியீட்டுக்கு எதிராகப் பதிப்பிடப்பட்ட கலைப்பொருளாகச் சேமிக்கப்பட வேண்டும். பயன்பாட்டு உரிமையாளர்களுக்கு வினாத்தாள் அனுப்பித் தொகுக்கப்பட்ட சரக்குப் பட்டியல் வந்து சேரும்போதே காலாவதியாகிவிடும், மேலும் அதை ஒப்பிட்டுப் பார்க்கவும் முடியாது.

வேறுபாட்டைக் கணக்கிடுங்கள், வேறுபாட்டின் மீது எச்சரிக்கை எழுப்புங்கள். மதிப்புமிக்க சமிக்ஞை சரக்குப் பட்டியல் அல்ல; சரக்குப் பட்டியலில் ஏற்படும் மாற்றமே. புதிய மறையீட்டுச் சார்பைப் பெற்ற சேவை, குறுகிய காலத்துக்கு மாறிய சான்றிதழ், முன்பு இல்லாத இடத்தில் தோன்றிய வழிமுறை — கட்டுப்பாட்டுக்குத் தகுதியான நிகழ்வுகள் இவைதான். SBOM காப்பகப்படுத்தலைவிட SBOM வேறுபாடு கணக்கிடல் அதிகப் பயனுள்ளதாக இருப்பதற்கான அதே காரணம்தான் இது.

ஏற்கெனவே வைத்திருக்கும் பதிவேட்டுடன் இணையுங்கள். "எந்த மறையீடு" என்பதற்கு CBOM பதிலளிக்கிறது; "எவ்வளவு முக்கியமானது, யாருடையது, எது அதைச் சார்ந்துள்ளது" என்பதற்கு Article 8 பதிவேடு பதிலளிக்கிறது. தனித்தனியாக எதுவும் ஒரு முன்னுரிமை வரிசை அல்ல. இணைந்தால், முக்கியமான ஒரே தரவரிசையை அவை உருவாக்குகின்றன: அவற்றின் மேல் அமர்ந்திருக்கும் வணிகச் செயல்பாட்டின் முக்கியத்துவத்தால் வரிசைப்படுத்தப்பட்ட, குவாண்டம் தாக்குதலுக்கு பாதிப்புள்ள செயல்பாடுகள். அந்த இணைப்பே ஒரு கண்டறிதல் திட்டத்தின் உண்மையான வழங்கீடு, மேலும் அதைத் திட்டத்தில் அப்படியே பெயரிட்டுக் குறிப்பிடுவது மதிப்புள்ளது.

செயல்பாட்டு நடைமுறை நூல்

1. 2028 மைல்கல்லை ஓர் அறிக்கையாக அல்லாமல் ஒரு திறனாக மறுவரையறை செய்யுங்கள். வழங்கீடு என்பது தன்னைத்தானே மீளுருவாக்கிக் கொள்ளும், பராமரிக்கப்படும், இயந்திரம் படிக்கக்கூடிய சரக்குப் பட்டியல் — ஒரு மேற்பார்வையாளருக்காக ஒருமுறை தயாரிக்கப்படும் ஆவணம் அல்ல.
2. இப்போதே கட்டமைப்பிலிருந்து CBOM-களை வெளியிடுங்கள், முதலில் புதிய சேவைகளில். ஒரே பாய்ச்சலில் முழுத் தொகுதியையும் முயற்சிக்காதீர்கள். இந்த ஆண்டு கட்டப்படும் அல்லது கணிசமாக மாற்றப்படும் எதற்கும் அதைக் குழாய்வழியில் இணையுங்கள் — அப்போது ஒரு பிரச்சாரம் தேவைப்படாமல் கவரேஜ் தானாகக் குவியும்.
3. இந்தக் காலாண்டிலேயே ஒப்பந்த விதியைப் புதுப்பித்தல் வார்ப்புருவில் சேருங்கள். மறையீட்டு வெளிப்படுத்தலும் மறையீட்டு நெகிழ்திறன் உறுதிமொழியும். பட்டியலில் உள்ள எதையும்விட இதற்குத்தான் நீண்ட முன்னோடிக் காலம் தேவை, மேலும் இது எந்தக் கருவி முடிவையும் சாராது.
4. முதலில் கட்டண மற்றும் தீர்ப்பணிவுப் பாதைகளுக்கு எதிராக வலையமைப்புக் கண்காணிப்பை இயக்குங்கள். உள்ளமைவுக்கும் யதார்த்தத்துக்கும் இடையிலான இடைவெளி மிக அதிக சேதத்தை ஏற்படுத்தும் இடமும், பழைய எதிர்தரப்புகள் குவியும் இடமும் அதுதான்.
5. CBOM-ஐ Article 8 பதிவேட்டுடன் இணைத்து, அந்த இணைப்பின் மீது தரவரிசைப்படுத்துங்கள். தரவரிசைப்படுத்தப்பட்ட பட்டியலை வெளியிடுங்கள். ஒரு பொறியியல் சரக்குப் பட்டியலை வரிசைமுறை மற்றும் பணம் குறித்த வாரியக் கலந்துரையாடலாக மாற்றும் கலைப்பொருள் அதுவே.
6. ஒவ்வொரு மீளுருவாக்கத்திலும் வேறுபாட்டைக் கணக்கிட்டு, புதிய குவாண்டம் தாக்குதலுக்கு பாதிப்புள்ள சார்புகள் மீது எச்சரிக்கை எழுப்புங்கள். வேறுபாடு கணக்கிடல் இல்லாத சரக்குப் பட்டியல் ஒரு காப்பகம்.

2031-ஐ நிதானமாகச் சந்திக்கப் போகும் நிறுவனங்கள், ML-KEM குறித்த மிக மேம்பட்ட பார்வை கொண்டவை அல்ல. எந்த நாள் காலையிலும், ஒரு திட்டத்தைத் தொடங்காமல், தமது மறையீடு உண்மையில் எங்கே இருக்கிறது என்ற கேள்விக்குப் பதிலளிக்க முடிந்தவையே அவை.

அடிக்கடி கேட்கப்படும் கேள்விகள்

CBOM என்பது SBOM-இலிருந்து வேறுபட்ட ஒன்றா?
வெவ்வேறு புலங்கள் நிரப்பப்பட்ட அதே ஆவண வகைதான். மறையீட்டுச் சொத்து ஆதரவு CycloneDX-க்குள் உள்வாங்கப்பட்டது; அது ECMA-424 ஆக வெளியிடப்பட்டுள்ளது. எனவே CBOM அதே திட்டவரைவுக்கு எதிராகச் சரிபார்க்கப்பட்டு, SBOM-ஐப் போலவே அதே கருவிகள் வழியே நகர்கிறது. ஏற்கெனவே SBOM-களை உருவாக்கும் நிறுவனங்கள் தாம் நினைப்பதைவிட இதற்கு மிக அருகில் உள்ளன.

DORA ஒரு மறையீட்டுச் சரக்குப் பட்டியலைக் கோருகிறதா?
அந்தச் சொற்களில் அல்ல. Regulation (EU) 2022/2554-இன் Article 8, ICT சொத்துகளை அடையாளம் காணுதல், வகைப்படுத்துதல், ஆவணப்படுத்துதல், அவற்றின் உள்ளமைவையும் ஒன்றுக்கொன்று சார்புகளையும் வரைபடமாக்குதல் ஆகியவற்றைக் கோருகிறது. அது பதிவு செய்யக் கட்டாயப்படுத்தும் பண்புகளில் மறையீட்டுப் பண்புகள் இல்லை; அதனால்தான் Article 8-க்கு இணங்கும் ஒரு பதிவேடு, விரிவாக்கப்படாமல் ஒரு குவாண்டம் பாதிப்புக் கேள்விக்குப் பதிலளிக்க முடியாது.

இடம்பெயர்வுக்கு இவ்வளவு முன்பாகவே கண்டறிதல் ஏன் முடிய வேண்டும்?
ஏனெனில் அது முன்னுரிமை வரிசைப்படுத்தலுக்கான உள்ளீடு. தொகுதியைத் தரவரிசைப்படுத்தி வேலையை வரிசைப்படுத்த ஒரு வரையறுக்கப்பட்ட இடைவெளி இருக்க வேண்டும் என்பதற்காகவே NCSC வழிகாட்டுதல் கண்டறிதலை 2028-இலும் அதிக முன்னுரிமை இடம்பெயர்வை 2031-இலும் வைக்கிறது. இரண்டையும் அழுத்திச் சுருக்குவது என்பது, மிக முக்கியமானதை அல்ல, மிக நன்றாகப் புரிந்துகொள்ளப்பட்டதை இடம்பெயர்ப்பது.

விற்பனையாளர் வன்பொருள் மற்றும் SaaS-க்குள் உள்ள மறையீட்டை எப்படிப் பட்டியலிடுவது?
நீங்கள் அதை ஸ்கேன் செய்வதில்லை; வெளிப்படுத்தலைக் கோருகிறீர்கள். வன்பொருள் பாதுகாப்புத் தொகுதிகள், கட்டணக் கருவிகள், சேவை வழங்குநர்கள் ஆகியவை ஒப்பந்தரீதியான மறையீட்டு வெளிப்படுத்தல் மற்றும் மறையீட்டு நெகிழ்திறன் கடமையால் உள்ளடக்கப்பட வேண்டும். இது பொறியியல் முயற்சியை அல்ல, புதுப்பித்தல் சுழற்சிகளைச் சார்ந்திருப்பதால், முழுத் திட்டத்திலும் மிக நீண்ட முன்னோடிக் காலம் இதற்கே உள்ளது — எனவே இதுவே முதலில் தொடங்க வேண்டும்.

தொடங்கும் முன் கருவிகள் முதிர்ச்சியடையக் காத்திருக்க வேண்டுமா?
வேண்டாம் — கருவி வாதம் பொதுவாக நிதி வாதத்தின் மாற்றுருவமே. திறந்த செயலாக்கங்கள் ஏற்கெனவே மூலத்திலிருந்தும் கொள்கலன் படிமங்களிலிருந்தும் CycloneDX மறையீட்டுச் சரக்குப் பட்டியல்களை வெளியிடுகின்றன, மேலும் விவரக்குறிப்பு ஏற்கப்பட்ட தரநிலை. 2028 மைல்கல்லின் கட்டுப்பாடு கவரேஜும் ஒப்பந்த எல்லையுமே தவிர, கருவிக் கிடைப்பு அல்ல.

குறிப்புகள்

• ஐரோப்பிய நாடாளுமன்றமும் ஐரோப்பிய ஒன்றிய கவுன்சிலும், 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). பிரஸ்ஸல்ஸ்: ஐரோப்பிய ஒன்றியத்தின் அதிகாரப்பூர்வ இதழ். இங்கு கிடைக்கிறது: ஐரோப்பிய நாடாளுமன்றமும் ஐரோப்பிய ஒன்றிய கவுன்சிலும், 2022..
• தேசிய இணையப் பாதுகாப்பு மையம், 2025. Timelines for migration to post-quantum cryptography. லண்டன்: NCSC. இங்கு கிடைக்கிறது: தேசிய இணையப் பாதுகாப்பு மையம், 2025..
• தேசிய தரநிலைகள் மற்றும் தொழில்நுட்பக் கழகம், 2024. NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards. கெய்தர்ஸ்பர்க்: அமெரிக்க வர்த்தகத் துறை. இங்கு கிடைக்கிறது: தேசிய தரநிலைகள் மற்றும் தொழில்நுட்பக் கழகம், 2024..
• தேசிய தரநிலைகள் மற்றும் தொழில்நுட்பக் கழகம், 2024. FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard. கெய்தர்ஸ்பர்க்: அமெரிக்க வர்த்தகத் துறை. இங்கு கிடைக்கிறது: தேசிய தரநிலைகள் மற்றும் தொழில்நுட்பக் கழகம், 2024..
• OWASP Foundation, 2026. CycloneDX Bill of Materials Specification (ECMA-424). வேக்ஃபீல்ட்: OWASP Foundation. இங்கு கிடைக்கிறது: OWASP Foundation, 2026..
• OWASP CycloneDX, 2026. Cryptography Bill of Materials (CBOM). வேக்ஃபீல்ட்: OWASP Foundation. இங்கு கிடைக்கிறது: OWASP CycloneDX, 2026..
• IBM Research, 2026. CBOM: Cryptography Bill of Materials. ஆர்மாங்க்: IBM. இங்கு கிடைக்கிறது: IBM Research, 2026..

கடைசியாக மதிப்பாய்வு செய்யப்பட்டது 2026-08-05.

# பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau

> Originally published at [https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/](https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/)

2028 NCSC கண்டறிதல் காலக்கெடு எந்த இடம்பெயர்வுக் காலக்கெடுவுக்கும் முன் வருகிறது. DORA சொத்துப் பதிவேடு மறையீட்டைப் பதிவு செய்யாததால் வங்கிகள் தோற்கும்.

Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau

2028 NCSC கண்டறிதல் காலக்கெடு எந்த இடம்பெயர்வுக் காலக்கெடுவுக்கும் முன் வருகிறது. DORA சொத்துப் பதிவேடு மறையீட்டைப் பதிவு செய்யாததால் வங்கிகள் தோற்கும்.

https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau

2028 NCSC கண்டறிதல் காலக்கெடு எந்த இடம்பெயர்வுக் காலக்கெடுவுக்கும் முன் வருகிறது. DORA சொத்துப் பதிவேடு மறையீட்டைப் பதிவு செய்யாததால் வங்கிகள் தோற்கும்.

முக்கிய மூலோபாயக் கருத்துகள் இங்கே:

- யாரும் செலவுக் கணக்கிடாத காலக்கெடு. வெளியிடப்பட்ட இடம்பெயர்வு காலவரிசைகளைக் கவனமாகப் படித்தால் வரிசைமுறை தெளிவாகிறது.
- உங்கள் DORA பதிவேடு மறையீட்டைத் தவிர அனைத்தையும் பதிவு செய்கிறது. மக்களை வியப்பில் ஆழ்த்தும் பகுதி இதுதான்.
- CBOM உண்மையில் என்ன கொண்டுள்ளது. மறையீட்டுப் பொருட்பட்டியல் என்பது ஓர் அமைப்பில் உள்ள மறையீட்டுச் சொத்துகளின் — வழிமுறைகள், சாவிகள், சான்றிதழ்கள், நெறிமுறைகள், மற்றும் அவற்றைப் பயன்படுத்தும் மென்பொருள் கூறுகளுடனான அவற்றின் உறவுகளின் — முறையான…
- கண்டறிதல் நான்கு பிரச்சினைகள், ஒன்றல்ல. கண்டறிதலை ஒற்றைப் பணித்தொடராகக் கருதுவதே இந்தத் திட்டங்கள் தோல்வியடையும் மிகப் பொதுவான வழி.

இந்தக் கட்டுரையில் விவரிக்கப்பட்ட சவால்களுக்கு உங்கள் நிறுவனத்தின் அணுகுமுறை என்ன?

→ https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

#மறையீட்டுப்பொருட்பட்டியல் #Cbom #Cyclonedx #Ecma424 #மறையீட்டுச்சரக்குப்பட்டியல்

Sebastien Rousseau | CC-BY-4.0

@online{rousseau2026பட,
  author  = {Rousseau, Sebastien},
  title   = {{பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau}},
  year    = {2026},
  url     = {https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/},
  urldate = {2026}
}

TY  - GEN
AU  - Rousseau, Sebastien
TI  - பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau
PY  - 2026
UR  - https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/
ER  -

Rousseau S. பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau. sebastienrousseau.com. 2026 Jul 28. Available from: https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

Rousseau, Sebastien. "பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau." sebastienrousseau.com. July 28, 2026. https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/.

Rousseau, S. (2026, July 28). பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/

பட்டியலிட முடியாததை நகர்த்த முடியாது: வங்கிகளிடம் இல்லாத CBOM — Sebastien Rousseau

2028 NCSC கண்டறிதல் காலக்கெடு எந்த இடம்பெயர்வுக் காலக்கெடுவுக்கும் முன் வருகிறது. DORA சொத்துப் பதிவேடு மறையீட்டைப் பதிவு செய்யாததால் வங்கிகள் தோற்கும்.

Originally published at https://sebastienrousseau.com/ta/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU · FOUNDER · ENGINEER