적합성 검사 보고서

"metadata": {
  "authors": [ { "name": "Example Manufacturing Co., Ltd." } ]
}

참고: cyclonedx.org

문서 안에 담긴 서명이나, cosign(예: --sign)이 SBOM 옆에 <SBOM 파일명>.sig로 남기는 분리 서명은 자동으로 인식되며 그 경우 이 행에 표시됩니다. 다른 이름이나 위치의 분리 서명은 이 보고서가 그 한 가지 관례만 찾기 때문에 나타나지 않습니다. 보낸 쪽의 키로 검증한 뒤 내용을 그쪽의 것으로 취급하고, 검증했다는 사실을 기록해 둡니다.

참고: www.cisa.gov

SBOM이 소프트웨어를 이루는 구성요소를 이행 의존성까지 빠짐없이 담았는지 확인합니다. 문서만 보고는 어떤 도구도 판정할 수 없습니다. 문서는 자기가 빠뜨린 것을 보여 주지 못하기 때문입니다. 빌드가 실제로 해석한 의존성이나 빌드에 쓰인 매니페스트와 대조합니다.

참고: www.cisa.gov

발행한 SBOM 데이터를 나중에 정정할 방법이 있고 정정본이 지체 없이 나가는지 확인합니다. 문서 안의 필드가 아니라 SBOM을 발행하는 조직의 관행에 대한 항목입니다.

참고: www.cisa.gov

SBOM이 필요한 쪽이 지체 없이 받을 수 있는지, 접근 통제가 권한 없는 쪽을 막되 권한 있는 쪽의 수신이나 보안 도구로의 반입까지 막지는 않는지 확인합니다.

참고: www.cisa.gov

소프트웨어 버전이나 업데이트마다 자기 SBOM이 있는지, 구성요소 데이터가 바뀌거나 오류를 발견했을 때 정정본을 다시 내는지 확인합니다.

참고: www.cisa.gov

"signature": {
  "algorithm": "ES256",
  "value": "MEUCIQD…"
}

참고: cyclonedx.org

데이터가 시스템 안에서 어떻게 흐르는지 적습니다. 입력이 어디서 오고, 모델이 무엇을 받고, 출력이 어디로 가는지입니다. BomLens에서는 AI 선언의 서비스 항목(service.dataFlows: 방향, 분류, 보내는 곳과 받는 곳의 주소)에 적으면 다음 스캔에서 SBOM의 CycloneDX services[].data에 발행자 선언으로 표시되어 들어갑니다. 다른 도구가 만든 SBOM도 서비스에 serviceData가 있으면 충족으로 봅니다. 적어 둔 내용이 실제 배포 구성과 맞는지 확인합니다.

참고: www.bsi.bund.de

시스템이 받은 데이터를 어떻게 쓰는지 밝힙니다. 저장하는지, 다른 구성요소로 넘기는지, 추가 학습에 쓰는지입니다. BomLens에서는 선언한 서비스의 데이터 흐름마다 설명(service.dataFlows[].description)으로 적으면 다음 스캔에서 SBOM에 발행자 선언으로 표시되어 들어갑니다. 공개하는 개인정보 처리방침과 어긋나지 않는지 확인합니다.

참고: www.bsi.bund.de

시스템이 받는 입력과 내놓는 출력을 적습니다. 형식과 크기 제한, 받지 않는 입력까지 포함합니다. BomLens에서는 서비스의 입력과 출력 종류(service.inputModality, service.outputModality)를 선언하면 다음 스캔에서 서비스에 발행자 선언으로 기록됩니다. 모델 카드에는 처리 방식만 적히고 시스템의 실제 인터페이스는 드러나지 않으므로 나머지는 사람이 확인합니다.

참고: www.bsi.bund.de

시스템을 어느 분야에 쓰려고 만들었는지, 쓰지 말아야 할 용도는 무엇인지 밝힙니다. 도구가 읽어낼 수 있는 사실이 아니라 판단이며, 규제에서 직접 요구하는 항목입니다. BomLens에서는 서비스의 적용 분야와 용도(service.domain, service.informationAboutApplication)를 선언하면 다음 스캔에서 서비스에 발행자 선언으로 기록됩니다.

참고: www.bsi.bund.de

{
  "type": "machine-learning-model",
  "description": "0.5B-parameter causal language model."
}

참고: huggingface.co

학습 데이터의 규모와 구성을 적습니다. 건수, 분류별 비율, 알고 있는 치우침입니다. 이 수치가 모델의 한계를 설명하므로 불리한 내용이라도 밝힙니다.

참고: huggingface.co

학습 데이터에 개인정보나 타인의 저작물이 섞였는지 판단하고, 무엇을 어떻게 걸러냈는지 기록합니다. 판단이 서지 않으면 공개 전에 개인정보 담당 부서와 법무에 확인합니다.

참고: www.bsi.bund.de

"externalReferences": [
  { "type": "bom", "url": "https://example.com/hbom.json" }
]

참고: cyclonedx.org

모델과 데이터를 보호하는 통제 수단을 적습니다. 가중치에 누가 접근할 수 있는지, 학습 환경을 어떻게 분리하는지, 산출물에 어떻게 서명하는지입니다. SBOM이 아니라 운영 쪽에 있는 정보입니다.

참고: www.bsi.bund.de

이 모델이 어떤 보안 표준이나 사내 정책을 따라 만들어졌는지, 누가 승인했는지 밝힙니다. 내용을 옮겨 적기보다 점검 기록을 가리키는 편이 낫습니다.

참고: www.bsi.bund.de

이 모델의 취약점을 어디로 신고하고 누가 답하는지 적습니다. 공개한 모델에는 학습한 사람이 자리를 옮겨도 유지되는 연락처가 필요합니다.

참고: www.bsi.bund.de

보안 쪽에서 무엇을 측정했는지 기록합니다. 적대적 입력이나 우회 시도 시험, 거부율, 모의 공격 결과를 방법·시점과 함께 적습니다. 측정하지 않았다면 하지 않았다고 그대로 밝힙니다.

참고: www.bsi.bund.de