XBOM, conformité et rapports

XBOM : un inventaire unique pour les logiciels, la cryptographie et les modèles d’IA

Un constat vous signale un problème. Un inventaire vous dit ce que vous livrez. XBOM, pour Extended Bill of Materials, est l’inventaire Plexicus de trois types d’actifs présents dans vos dépôts. Comme Plexicus Automation, il fonctionne aux côtés de la boucle Valider, Comprendre, Remédier.

Logiciels (SBOM) : bibliothèques, paquets et dépendances.
Cryptographie (CBOM) : algorithmes, tailles de clé, primitives et endroits où ils sont utilisés.
Modèles d’IA (AIBOM) : modèles d’apprentissage automatique, avec leurs fournisseurs, leurs jeux de données et leurs licences.

Ouvrez XBOM depuis la barre latérale principale. La page s’intitule « Asset Inventory (XBOM) » et comporte trois onglets : Software (SBOM), Cryptography (CBOM) et AI Models (AIBOM). L’onglet sélectionné est conservé dans l’URL : un rechargement ou un lien partagé rouvre donc le même onglet, mais pas vos filtres. La disponibilité de XBOM dépend de votre offre.

Activer les outils BOM

Chaque onglet reste vide jusqu’à ce que son outil soit activé et qu’un dépôt ait été scanné, ou jusqu’à ce que vous importiez un BOM fournisseur contenant ce type de composant. Un onglet vide indique l’outil à activer et propose un bouton Go to Connectors.

L’outil CBOM détecte la cryptographie dans le code JavaScript et TypeScript, Go, Ruby, PHP, C et C++, Python et Java.

Ce que montre chaque inventaire

Onglet	Colonnes	Filtres supplémentaires
Software (SBOM)	Component, Version, Repository, VEX status, Vulnerabilities, License, Actions	License category
Cryptography (CBOM)	Algorithm, Key size / Params, Primitive, Context / Source, Repository, Compliance risk	Quantum classification
AI Models (AIBOM)	Model, Type, Provider, Version, Datasets, Licenses, Repository, Security / Risk	Provider, Risk flag

Chaque onglet comporte aussi un champ de recherche et un filtre Repository. Dans le SBOM, la colonne Vulnerabilities compte, par sévérité (C, H, M, L), les constats actifs dont le nom et la version de bibliothèque correspondent au composant. Ces chiffres ne sont pas des liens : pour voir les constats, filtrez Findings par Library. Les licences se répartissent en cinq catégories : Permissive (par exemple MIT ou Apache-2.0), Weak copyleft (par exemple LGPL ou MPL-2.0), Strong copyleft (par exemple GPL ou AGPL), Proprietary et Unknown.

Chaque actif du CBOM reçoit une classification quantique :

Quantum Vulnerable : cryptographie à clé publique qu’un ordinateur quantique pourrait casser, comme RSA, ECDSA, ECDH, DH et Ed25519.
Deprecated/Weak : cryptographie déjà cassée ou faible aujourd’hui, comme MD5, SHA-1, DES, 3DES et RC4.
Quantum Safe : standards post-quantiques du NIST comme ML-KEM et ML-DSA, ainsi que les primitives symétriques et de hachage qui résistent aux attaques quantiques.
Unknown : informations insuffisantes pour établir une classification.

Les lignes de l’AIBOM portent des indicateurs de risque : Serialization Risk (fichiers de modèle comme .pkl ou .pt), No Model Card, Unknown License, Restricted License (par exemple des conditions non commerciales ou réservées à la recherche), External API (un modèle appelé via l’API d’un fournisseur), No Dataset Provenance et Unpinned Version (vide, « latest », « main » et valeurs similaires).

Cliquez sur une ligne pour ouvrir son panneau Details : PURL, empreintes (hashes), chemins de fichiers, fournisseur et outil source pour les logiciels ; motifs de classification pour la cryptographie ; jeux de données pour les modèles d’IA.

La vue de synthèse

L’Executive overview, au-dessus des onglets, affiche cinq cartes KPI : Total components, Repositories covered (réparti entre SBOM, CBOM et AIBOM), Quantum readiness, AI models (avec le nombre de modèles présentant des risques) et License risk. Viennent ensuite quatre graphiques : License categories, Quantum classification, Top vulnerable components et AI providers.

Deux cartes demandent une lecture attentive :

Quantum readiness correspond à la part de l’ensemble des actifs du CBOM, Unknown compris, classés Quantum Safe. Ce score sur 100 est mis en regard des échéances 2030/2035 du NIST. La carte est verte à partir de 80, jaune de 50 à 79 et rouge en dessous de 50. Sans données CBOM, elle affiche 0/100 : vérifiez donc que l’outil CBOM est activé avant d’en tirer la moindre conclusion.
License risk compte les composants sous licence strong copyleft, propriétaire ou inconnue. Le weak copyleft, comme la LGPL, n’est pas compté. Cette carte vous indique ce qu’il faut soumettre à une revue juridique ; ce n’est pas un avis juridique.

Un score quantique faible est un signal de planification. Supposons que le CBOM révèle RSA-2048 dans votre service d’identité (Quantum Vulnerable) et MD5 dans un générateur de jetons de réinitialisation de mot de passe (Deprecated/Weak). Corrigez d’abord MD5, car il est déjà faible aujourd’hui, et planifiez la migration de RSA en fonction des échéances du NIST.

Déclarations VEX, listes de surveillance et comparaison entre scans

Votre SBOM liste un composant affecté par une CVE connue. Cela ne signifie pas pour autant que votre produit est exploitable. Une déclaration VEX (Vulnerability Exploitability eXchange) consigne votre évaluation d’une vulnérabilité précise dans un composant précis, afin que le relecteur suivant n’ait pas à refaire l’analyse.

Enregistrer une déclaration VEX

Sur la ligne du composant, ouvrez XBOM Software (SBOM) Actions Set VEX . Le formulaire VEX statement comporte les champs Component (prérempli), Vulnerability ID (par exemple CVE-2024-12345), Status, Justification et un champ Detail facultatif. Status vaut Under investigation par défaut. Cliquez sur Save statement.

Statut	À utiliser lorsque	Justification
Affected	Le code vulnérable est présent, s’applique à votre produit et vous y travaillez	Facultative, mais précisez ce que vous faites
Not affected	Le composant est présent mais la vulnérabilité ne s’applique pas, par exemple parce que la fonction vulnérable n’est jamais appelée	Exigée par le formulaire
Fixed	Vous êtes passé, par une mise à niveau ou un correctif, à une version exempte de la vulnérabilité	Facultative, mais indiquez la version
Under investigation	Vous n’avez pas terminé l’évaluation	Facultative, mais précisez ce qui est en cours de vérification

Exemple : votre service de paiement embarque une bibliothèque YAML dont le chargeur non sécurisé est concerné par une CVE de désérialisation. Votre revue, par exemple avec Deep Code Analysis (module 5), montre que votre code n’appelle jamais que le chargeur sécurisé. Enregistrez Not affected avec une justification du type « Le chargeur non sécurisé n’est jamais appelé ; tout le parsing passe par le chargeur sécurisé, voir la trace du constat. »

La colonne VEX status affiche la déclaration la plus récente du composant. Si un composant fait l’objet de déclarations pour plusieurs vulnérabilités, la colonne n’affiche que la plus récente, quelle que soit la vulnérabilité qu’elle couvre. Un badge Not affected ne lève donc pas toutes les CVE de ce composant : vérifiez ses constats dans Findings avant de le considérer comme traité. Enregistrer une déclaration requiert la même autorisation en écriture que le triage des constats.

Les déclarations VEX restent dans Plexicus. Les exports CycloneDX, SPDX, CSV et PDF ne les incluent pas : montrez donc la colonne VEX status aux relecteurs dans XBOM, ou consignez l’évaluation dans votre propre document VEX.

Listes de surveillance

Une liste de surveillance vous alerte lorsqu’un composant logiciel (SBOM) qui vous intéresse apparaît dans un nouveau scan. Les actifs cryptographiques et les modèles d’IA ne déclenchent pas d’alertes. Ouvrez XBOM Watchlists , saisissez un Pattern, choisissez un Type, laissez Notify on match activé et cliquez sur Add watchlist.

Name correspond à tout composant dont le nom contient le motif, sans tenir compte de la casse. Le motif « log4j » correspond à log4j-core et à log4j-api.
PURL correspond aux composants dont l’URL de paquet commence par le motif, comme pkg
/lodash.

L’action de ligne Watch component de l’onglet SBOM est un raccourci : elle crée pour ce composant une entrée Name avec les notifications activées.

Une alerte ne se déclenche que si le nom et la version correspondants étaient absents des scans précédents de ce dépôt : un composant présent de longue date ne déclenche donc pas d’alerte à chaque scan, contrairement à une nouvelle version de ce même composant. Les alertes arrivent sous forme de notifications d’avertissement dans l’application, qui indiquent le composant, sa version et le motif correspondant. Les bons candidats sont les bibliothèques que votre équipe a bannies, les paquets ayant déjà connu des versions compromises et les paquets internes que vous voulez suivre d’une équipe à l’autre.

Changes vs previous scan

Dans le filtre Repository, sélectionnez un seul dépôt. Un panneau Changes vs previous scan apparaît. Il compare les deux scans les plus récents de ce dépôt et classe les composants en Added, Removed ou Changed (la version diffère). Consultez-le après une fusion pour repérer une dépendance dont personne n’a parlé, ou après une mise à niveau pour confirmer que l’ancienne version a réellement disparu.

Importer des BOM fournisseurs et exporter

Importer un BOM fournisseur

Votre produit contient des logiciels que vous n’avez pas développés. Lorsqu’un fournisseur vous envoie un BOM, importez-le pour que ses composants figurent à côté des vôtres : XBOM Import . Le formulaire Import supplier SBOM accepte un fichier JSON CycloneDX ou SPDX de 20 Mo au maximum et exige un Supplier name. Une notification confirme le nombre de composants importés.

Dans un fichier CycloneDX, les composants de type actif cryptographique vont dans l’inventaire CBOM, les composants de type modèle d’apprentissage automatique dans l’AIBOM, et tout le reste dans le SBOM. Lorsque le même fournisseur vous envoie un BOM mis à jour, importez-le à nouveau sous le même nom de fournisseur. Plexicus remplace alors l’instantané importé précédemment pour ce fournisseur, au lieu d’ajouter des doublons.

Formats d’export

Choisissez d’abord l’onglet, puis ouvrez Export.

Format	Disponible dans	Ce que vous obtenez
CycloneDX JSON	SBOM, CBOM, AIBOM	Un document CycloneDX 1.6
SPDX JSON	SBOM uniquement	Un document SPDX 2.3
CSV	SBOM, CBOM, AIBOM	Une feuille de calcul de l’inventaire, téléchargée immédiatement
PDF attestation	SBOM, AIBOM (proposé aussi dans CBOM, mais l’export y échoue)	Un XBOM Attestation Report évalué selon un profil de conformité

Pour CycloneDX, SPDX et PDF, une boîte de dialogue demande un Product name (laissé vide, il reprend le nom affiché, par exemple celui du dépôt ou de l’organisation) et une Product version (laissée vide, elle reprend la date d’export). Pour CycloneDX et SPDX, ces champs nomment le composant racine du document : renseignez-les tous les deux pour tout ce qui sort de votre équipe. L’attestation PDF n’affiche ni le nom ni la version du produit. Elle ne nomme que votre organisation : envoyez-la donc avec l’export CycloneDX correspondant et précisez la version livrée dans votre message d’accompagnement.

Ce que couvre un export :

Le dernier instantané de scan, pas l’historique.
Le premier dépôt sélectionné dans le filtre, ou l’ensemble de l’organisation si aucun dépôt n’est sélectionné.
Pour le SBOM, une entrée par PURL : un paquet trouvé dans plusieurs dépôts n’apparaît qu’une fois, avec ses chemins de fichiers fusionnés comme preuves.

Les deux formats désignent votre produit comme racine et comportent un horodatage de création ainsi que le nom de votre organisation. CycloneDX ajoute un numéro de série unique et indique votre organisation comme fournisseur ; SPDX utilise à la place un espace de noms de document unique. Les relations de dépendance n’apparaissent que là où elles ont été résolues, et le document CycloneDX déclare la liste des composants complète, mais le graphe des dépendances transitives incomplet. C’est une déclaration exacte, sur laquelle un relecteur peut s’appuyer.

Attestation PDF et profils de conformité

Profil	Type de BOM	Champs vérifiés pour chaque composant
EU CRA (BSI TR-03183-2)	SBOM	Nom, version, PURL, licences, empreintes, fournisseur, chemins de fichiers
CISA 2025	SBOM	Nom, version, PURL, licences, empreintes, fournisseur, outil source
PCI DSS 6.3.2	SBOM	Nom, version, dépôt, outil source
EU AI Act	AIBOM	Nom, version, fournisseur, licences, jeux de données, model card

Le rapport indique le type de BOM, l’organisation, la date de génération et une empreinte SHA-256 du contenu du BOM. Suivent une section Summary, puis un score de complétude sur 100 pour le profil choisi, avec un tableau Present, Missing et Coverage par champ et des notes réglementaires. Le score fait la moyenne entre la couverture des champs et des contrôles portant sur le document : composant racine, version de la spécification, numéro de série, horodatage, créateur, absence de doublons, graphe de dépendances et références de dépendances résolubles.

L’empreinte porte sur un rendu CycloneDX généré au moment de l’export : elle ne correspondra donc pas à un fichier CycloneDX que vous téléchargez séparément. Ne la présentez pas comme un moyen de vérifier un autre fichier.

Le score de complétude évalue le document, pas votre conformité. La colonne Missing indique, pour chaque champ requis, combien de composants ne le renseignent pas. Les contrôles portant sur le document sont intégrés au score sans être détaillés : si chaque champ affiche 100 % et que le score reste inférieur, l’écart se situe au niveau du document, le plus souvent un graphe de dépendances absent ou partiel. Examinez les écarts avant d’envoyer l’attestation, et signalez au destinataire ceux que vous ne pouvez pas combler.

La vue Compliance

Choisissez d’abord vos référentiels

La vue Compliance n’affiche que les référentiels suivis par votre organisation. Choisissez-les dans Settings Organization Regulations : cliquez sur Edit, sélectionnez des référentiels dans le catalogue, puis cliquez sur Save changes. Les deux boutons Configure frameworks de l’onglet Compliance y mènent. Tant que vous n’en avez sélectionné aucun, l’onglet affiche « No compliance frameworks configured ».

Le catalogue compte 50 référentiels, dont NIS2, DORA, CRA, GDPR, PCI DSS v4.0.1, ISO 27001

, SOC 2, NIST CSF, NIST 800-53r5, HIPAA, ENS et ISA/IEC 62443. Certains référentiels dépendent de votre offre : ils portent un badge indiquant l’offre requise, et leur sélection ouvre une invitation à changer d’offre. Pour ajouter un référentiel absent du catalogue, contactez Plexicus.

Comment les constats sont mis en correspondance

La mise en correspondance a lieu lorsque Plexicus enrichit un constat par IA. Chaque référentiel est évalué, mais il n’est rattaché que s’il existe un contrôle strict, c’est-à-dire un contrôle susceptible de prévenir la vulnérabilité. Les contrôles qui aident seulement à détecter ou à réagir sont écartés, et un seul contrôle au plus est enregistré par référentiel. Une injection SQL dans un gestionnaire de connexion peut correspondre à un contrôle de validation des entrées ou de développement sécurisé. Elle n’est pas rattachée à un contrôle de journalisation au seul motif que la journalisation aurait pu repérer l’attaque.

Le résultat est enregistré sur le constat sous la forme Regulation, Control et Control category. Ouvrez un constat et faites défiler jusqu’à sa section Compliance & OWASP, qui liste chaque réglementation avec son contrôle, sa catégorie de contrôle et une brève description. Lorsque rien ne s’applique, elle affiche « This security finding does not activate any applicable compliance policies. » Dans Findings, All filters permet de filtrer par Regulation, Control et Control category, et le filtre Regulation ne propose que les référentiels que vous avez activés.

La mise en correspondance est générée par l’IA. Considérez-la comme un point de départ solide, qu’une personne doit confirmer, en particulier pour tout contrôle que vous comptez citer lors d’un audit.

Lire l’onglet Compliance

Ouvrez Dashboard Compliance . L’ancienne adresse de la page Compliance redirige ici. La barre de filtres propose Repository, Asset type (All assets, Code, Cloud, SCM), Severity et Framework, ainsi que Configure frameworks et Refresh. La disponibilité de l’onglet et de certains référentiels dépend de votre offre.

Widget	Ce qu’il affiche
Cartes par référentiel	Open findings, Critical / High, Fixed, Affected assets et un nombre de contrôles pour chaque référentiel
Risk Dashboard	Un flux qui va de Total Findings vers Fixed et Remaining, puis se répartit par sévérité, par groupe d’actifs (Code, Cloud, SCM) et par référentiel
Compliance Findings	Une heatmap des constats ouverts par dépôt et par référentiel, pour vos dépôts les plus actifs
Findings Trend	Les nouveaux constats par semaine et par référentiel sur Last 30 days, Last 90 days (par défaut), Last 6 months ou Last year
Framework Risk Quadrant	Les constats ouverts de chaque référentiel, rapportés au nombre de dépôts qu’il concerne
Top Violated Controls	Control, Framework, Category, Severity, Findings et Assets, en commençant par les contrôles qui comptent le plus de constats

La plupart des widgets renvoient vers Findings avec des filtres appliqués. Une carte ou un nœud de référentiel filtre sur cette réglementation, un nœud de sévérité sur cette sévérité, une cellule de la heatmap sur le référentiel et le dépôt, et une ligne de Top Violated Controls sur le référentiel et le contrôle. Les filtres Repository et Severity de l’onglet sont repris. Le filtre Asset type ne l’est pas, et ces renvois ouvrent l’onglet Repo de Findings : passez donc à l’onglet Cloud ou SCM pour ces constats-là. Une carte qui affiche « No findings · mapping pending » n’a encore aucun constat rattaché.

Les chiffres excluent les doublons, les sous-constats, les faux positifs et les constats supprimés, et « ouvert » signifie « pas encore résolu ». La qualité du triage se voit directement ici : un faux positif laissé ouvert gonfle les chiffres d’un référentiel, et les constats résolus passent dans Fixed.

Rapports et preuves

Les auditeurs, les clients et votre propre direction demandent des preuves sous des formes différentes. Au-delà des exports XBOM, Plexicus vous propose trois types de rapports.

Le Findings Intelligence Report

Dans Findings, choisissez l’onglet (Repo, SCM, Cloud, Registry ou App Pentest), définissez vos filtres, puis cliquez sur Findings Download PDF . Le rapport est généré en arrière-plan. Une notification « Report being generated » vous indique que vous recevrez un e-mail lorsqu’il sera prêt. Vous recevez ensuite un e-mail et une notification Report Ready dans l’application, avec un bouton Download report. Tous deux ouvrent dans Plexicus une page de téléchargement qui exige que vous soyez connecté. Si le rapport est encore en cours de génération ou si le lien a expiré, la page l’indique, et vous pouvez le générer à nouveau.

À savoir avant de vous y fier :

Votre organisation peut demander au maximum 5 rapports par heure, tous utilisateurs confondus. Au-delà, le message « Rate limit reached » s’affiche. Chaque demande, y compris une demande refusée, relance le délai d’une heure : attendez donc plutôt que de réessayer.
Le rapport est rédigé dans la langue définie par le paramètre Scan & Report Language de l’organisation, dans Settings Platform . Les titres des constats et le code restent dans leur langue d’origine.
La disponibilité des rapports PDF dépend de votre offre.

Le rapport s’ouvre sur une page de garde (organisation, date de génération, nombre total de constats, dépôts scannés, mention CONFIDENTIAL) et un Executive Summary qui indique le total, les nombres Critical, High, Medium, Low, Resolved et In Progress, ainsi que le nombre de dépôts. Les graphiques comprennent Severity Distribution, les 5 premiers constats selon l’EPSS, Remediation Status, Findings by Repository et Findings by Language. Un tableau Findings Detail (Severity, Title, Repository, Tool, EPSS, Status) liste jusqu’à 500 constats, des plus graves aux moins graves, tandis que les compteurs et les graphiques couvrent toujours l’ensemble des constats du périmètre. Jusqu’à 10 constats critiques bénéficient d’une section détaillée avec des recommandations de remédiation générées par l’IA.

Filtrez avant de cliquer. « Critical et High, dépôt de paiement, Regulation NIS2 » donne un rapport sur lequel un relecteur peut agir. Un export non filtré d’un backlog volumineux tronque le tableau à 500 lignes.

Exports SARIF et CSV

Findings Download JSON télécharge findings.json, un document SARIF 2.1.0 limité à l’onglet et aux filtres en cours. Par défaut, il n’inclut que les constats au statut AI-Analysed. Les constats passés à Ready to Fix, Fix Submitted, Issued ou Fixed sont exclus : utilisez donc le rapport PDF lorsque vous devez montrer l’avancement de la remédiation. Servez-vous du fichier SARIF pour transmettre les résultats à un autre outil qui lit le SARIF.
Download report, dans la vue détaillée d’un constat, vous fournit un fichier SARIF pour ce seul constat, pratique pour un ticket ou une revue de code.
Dans Assets Repo Scan , le bouton de téléchargement du tableau exporte les dépôts filtrés dans repositories.csv, une liste d’actifs prête à remettre à un auditeur.

Les exports de Findings sont consignés dans le journal d’audit (module 10). Les rapports AI Pentest sont traités dans le module 6.

Étayer les échanges réglementaires

Échange	Preuves que vous pouvez apporter depuis Plexicus
NIS2, sur la gestion des vulnérabilités et la sécurité de la chaîne d’approvisionnement	L’onglet Compliance filtré sur NIS2, un Findings Intelligence Report filtré sur la réglementation NIS2, le Findings Trend et un export SBOM
DORA Art. 28, sur le risque lié aux prestataires tiers de services TIC	Les BOM fournisseurs importés, les exports SBOM, les déclarations VEX sur les composants tiers enregistrées dans XBOM (visibles dans l’application, pas dans les exports) et l’onglet Compliance filtré sur DORA
EU CRA	Un SBOM au format CycloneDX ou SPDX, une attestation PDF avec le profil EU CRA et les déclarations VEX que vous avez enregistrées dans XBOM
EU AI Act	L’AIBOM avec les fournisseurs, les jeux de données et les indicateurs de risque, ainsi qu’une attestation PDF avec le profil EU AI Act

Points clés à retenir

XBOM est un inventaire unique doté de trois onglets, Software (SBOM), Cryptography (CBOM) et AI Models (AIBOM), que l’on alimente en activant Plexicus SBOM, CBOM et AIBOM sur la page Connectors, puis en lançant un scan.
Les déclarations VEX consignent, par composant et par vulnérabilité, si vous êtes Affected, Not affected (justification obligatoire), Fixed ou Under investigation. Elles ne modifient pas le statut des constats : triez donc les constats séparément.
Les listes de surveillance alertent, par nom ou par PURL, lorsque de nouveaux composants logiciels apparaissent, et la comparaison porte sur les deux derniers scans d’un dépôt.
Les exports couvrent le dernier instantané : CycloneDX 1.6 pour tous les onglets, SPDX 2.3 pour le SBOM, CSV, et une attestation PDF dont le profil doit correspondre au type de BOM.
L’onglet Compliance n’affiche que les référentiels choisis dans Settings, Organization, Regulations, ne rattache les constats qu’à des contrôles susceptibles de les prévenir, et permet de descendre jusqu’aux constats rattachés à un référentiel ou à un contrôle.
Les Findings Intelligence Reports, les exports SARIF et les CSV de dépôts servent de preuves dans les échanges autour de NIS2, de DORA, du CRA et de l’EU AI Act. Plexicus produit les preuves ; vos auditeurs jugent la conformité.