الدليل 1

مقدمة

يظهر أحد مكونات البرمجيات في إشعار أمني. يتلقى مشغل آلات البيع جدول بيانات بأسماء المكتبات من أحد الموردين، لكن الملف لا يرتبط بإصدار واضح. تم تحديث بعض الخزائن، بينما لا تزال أخرى غير متصلة بالإنترنت، وجهاز قراءة الدفع تابع لمورد آخر. يمتلك المشغل قائمة بالمكونات وأسطولًا من الآلات، لكنه لا يستطيع ربط الإشعار بالبرمجيات المثبتة في كل موقع.

تصف صفحة موارد SBOM العامة التابعة لـ NTIA قائمة مكونات البرمجيات بأنها جرد برمجيات متداخل: مكونات تشكل عناصر البرمجيات. هذه نقطة انطلاق مفيدة للمشتريات. لكنها لا تعني أن قائمة المكونات تحدد كل جهاز يستخدمها، أو أن وجودها يثبت إمكانية استغلال ثغرة أمنية في منتج معين.

لذا، تتطلب عملية الشراء ثلاثة سجلات مترابطة: مكونات البرنامج، والإصدار المُثبّت، وتحليل تأثير المورّد. يصف ملف المكونات نطاق البرنامج المتفق عليه. ويُبيّن سجلّ الأجهزة الإصدار المُثبّت ومكان تثبيته. أما استجابة التأثير فتُوضّح تقييم المورّد للمنتج ذي الصلة. ولا يجوز استبدال أيٍّ من هذه السجلات بالآخر دون قصد.

تستخدم هذه المقالة فهرس موارد الإدارة الوطنية للاتصالات والمعلومات (NTIA) بتاريخ 9 أكتوبر 2026. تتضمن أوصافه المرتبطة مواد تاريخية من 2019 إلى 2021؛ ولا يقدم هذا الموجز تلك المواد على أنها أحدث معيار للحد الأدنى من العناصر، ولا يدعي مطابقتها للمعايير الفيدرالية. توفر ثلاث قوائم منتجات عامة من برنامج WEIMI مرشحين للمعدات. لم يتم التحقق من أي قائمة مواد هيكلية (SBOM) أو ثغرة أمنية في أحد المكونات أو نتيجة قابلية للاستغلال أو التزام بتصحيح برمجي.

الدليل الثاني

إجابة سريعة

اطلب مثالاً على عملية التسليم لإصدار واحد مذكور في العرض قبل تقديم وعد برؤية شاملة للأسطول.استفسر عن البرامج المشمولة، والإصدار الذي تصفه معلومات المكون، وكيفية تسليمها، وكيفية ربطها بالخزائن المثبتة. سجّل الاستثناءات والموردين المسؤولين بشكل واضح.

يُفرّق فهرس الإدارة الوطنية للاتصالات والمعلومات (NTIA) بين تمثيل المكونات والتنسيقات القابلة للقراءة آليًا من جهة، وعمليات الاستحواذ والاستخدام من جهة أخرى. ويصف الفهرس VEX بشكل منفصل كوسيلة للمورد لتوضيح ما إذا كانت ثغرة أمنية معينة تؤثر على منتج ما. هذه فروق مفاهيمية مفيدة؛ فالملف الذي يبدو سليمًا ليس بالضرورة شهادة خالية من الثغرات الأمنية، ولا تقريرًا لتحديث أسطول الأجهزة.

تثير ثلاجة الرؤية المدعومة بالذكاء الاصطناعي تساؤلات حول برامج الخزائن والخدمات المتعلقة بالتعرف على العناصر. كما يثير نظام WM22 تساؤلات حول نطاق شاشات اللمس والمخزون والإدارة عن بُعد. ويضيف تنسيق معدات الوقاية الشخصية لبطاقات الموظفين صلاحيات للموظفين ومسؤوليات التكامل. ولا توضح القوائم العامة أيًا من ممارسات تسليم قائمة مكونات المنتج. استخدمها لإعداد أسئلة حول نطاق العمل، ثم اطلب إجابات مكتوبة من الموردين.

الدليل 3

جدول المقارنة

اعتبر هذا بمثابة خريطة قبول. يمكن أن يكون لكل صف مالك مختلف وطريقة وصول مختلفة. يحتاج المشغل إلى علاقة عمل بينهما، وليس بالضرورة ملفًا عامًا واحدًا يغطي كل خدمة سحابية وجهاز تابع لجهة خارجية.

الدليل 4

من ينبغي عليه شراء هذا المنتج؟

يناسب هذا النهج مشغلي أساطيل المركبات الذين يطلب فريق تقنية المعلومات لديهم أدلة على مكونات البرمجيات، والموزعين الذين يجمعون الخزائن المتصلة مع الخدمات، وأصحاب العمل الذين يدمجون آلات البيع في نظام وصول داخلي. وهو مفيد قبل أن تحدد العقود مسؤوليات الدعم وشروط تسليم المعلومات.

قد يحتاج مشغل صغير إلى عملية استفسار مدعومة من المورد بدلاً من منصة تحليل آلية خاصة به. أما المشغل الأكبر فقد يحتاج إلى ملفات قابلة للقراءة آلياً وسجل لإصدار الأصول. اختر ما يناسبك بناءً على عدد الموظفين والمتطلبات الفعلية. إن الحصول على ملفات لا يمكن لأحد تفسيرها أو ربطها لا يُعدّ بمثابة إنشاء قدرة تشغيلية.

لا يُستنتج من هذه المقالة وجود التزام إلزامي بتقديم قائمة مكونات المنتج (SBOM) على كل مشترٍ عالمي لآلات البيع. فالمتطلبات التعاقدية والقضائية والقطاعية تحتاج إلى مراجعة منفصلة. يُحدد هذا الموجز أسئلة الشراء والعروض التوضيحية، ولا يُقدم قائمة تحقق كاملة لمطابقة المعايير، كما لا يُحدد الواجبات القانونية للمشروع.

الدليل 5

كيف نقوم بتقييم آلات البيع الذكية

نستخدم صفحات المنتجات العامة لتحديد وظائف البرمجيات، ثم نقترح تمرينًا عمليًا. تُدرج ثلاجة الذكاء الاصطناعي ميزات الدفع عبر الكاميرا والإدارة السحابية. يصف معيار WM22 المخزون والتشغيل عن بُعد. يصف تنسيق PPE الوصول باستخدام بطاقات الموظفين والصلاحيات القائمة على الأدوار. لا تُحدد هذه الأوصاف محتويات المكونات ولا تُظهر مُولِّد قائمة مكونات البرمجيات (SBOM).

ابدأ بخزانة واحدة وإصدار واحد باسم المورّد. اطلب من المورّد إظهار مُعرّف الإصدار الظاهر للمشغل باستخدام الواجهة أو الوثائق المدعومة. احصل على نموذج لتسليم المكونات لهذا الإصدار إن وُجد. يكمن الاختبار في إمكانية مطابقة المُعرّفات، وليس في عدد أسطر المستند.

بعد ذلك، أنشئ جدولًا نموذجيًا لأسطول المركبات يتضمن إصدارين. أضف خزانة منفصلة وجهاز دفع تابعًا لجهة خارجية. استفسر عن البرامج التي يغطيها الملف المطلوب والجهة التي تقدم الأدلة المستبعدة. لا تفترض أن إصدار لوحة التحكم السحابية مطابق لإصدار تطبيق الخزانة، أو أن جهاز الدفع مُدرج لمجرد تركيبه في الواجهة الأمامية.

ثم قم بإجراء تمرين استشاري افتراضي باستخدام بيانات اختبار محددة بوضوح. أعطِ المورد مُعرّفًا افتراضيًا للمكون واطلب منه تحديد مسار الاستجابة المتفق عليه. سجّل ما إذا كانت الإجابة تُحدد الإصدارات المتأثرة، أو المؤهلات، أو مزيدًا من التحقيق، أو المعلومات المفقودة. لا يُشير هذا التمرين إلى وجود ثغرة أمنية حقيقية، كما أن نموذج الاستجابة لا يُعد دليلًا على وقت الاستجابة في المستقبل.

أخيرًا، اعرض تحديثًا مُعتمدًا وتحديثًا فاشلًا أو مؤجلًا إن وُجدت هذه الوظائف. راجع ما يمكن للمشغل التحقق منه بشأن الإصدارات المُثبّتة لاحقًا. لا يعني الأمر الذي تم إرساله بالضرورة تثبيت الإصدار. احتفظ بالقيود المعروضة، ومعلومات الاتصال بالتصعيد، وأي تحقق يدوي مطلوب.

الدليل 6

عوامل الشراء الرئيسية

ارسم حدود البرنامج.وحدة تحكم منفصلة للخزانة، وتطبيق شاشة لمس، وخدمات التعرف، وإدارة سحابية، وواجهات عملاء، ومعدات دفع خارجية عند الاقتضاء. اطلب من المورد توضيح نطاق العمل المُقدّم فعليًا. هذه فئات مشاريع مقترحة، وليست بنية معتمدة للأجهزة التي تمت مراجعتها.

قم بربط الأدلة بوثيقة الإفراج.يجب أن تكون العلاقة بين المعلومات المُقدَّمة ورقم الإصدار أو البنية المُسماة واضحة لا لبس فيها. يُعدّ اسم التسويق على مستوى العائلة غير فعّال عندما يحتوي الأسطول على العديد من التحديثات. يجب الاتفاق على كيفية حصول المُشغِّل على مُعرِّف التثبيت دون الحاجة إلى وصول غير مدعوم أو واجهات مخفية.

اختر صيغة تسليم مناسبة.يُبرز وصف مسح تنسيقات البيانات التاريخية الصادر عن إدارة الاتصالات والمعلومات الوطنية (NTIA) تنسيقات SPDX وCycloneDX وSWID، بالإضافة إلى الاتصالات القابلة للقراءة آليًا. ولا يُثبت هذا الوصف أن أي منتج تمت مراجعته يدعم هذه التنسيقات، أو أن إصدارًا معينًا منها هو الإصدار الحالي. لذا، يُرجى اختيار التنسيق والمخطط المناسبين مع الفريق الذي سيستخدمه، ثم اختبار ملف تجريبي.

حدود التغطية القياسية.استفسر عن التبعيات وطبقات الموردين المشمولة، وما هو غير معروف، وما هو خارج نطاق الاتفاقية. هذا طلبٌ للشفافية في عملية الشراء، وليس ادعاءً بأن صفحة المصدر تُحدد مجموعة الحقول الحالية كاملةً. لا ينبغي اعتبار أي إدخال فارغ دليلاً ضمنيًا على عدم وجود أي مكون.

حافظ على تحليل الأثر متميزاً.قد يُثير تطابق أحد المكونات تساؤلاً، فهو لا يُحدد بحد ذاته ما إذا كانت الثغرة الأمنية المذكورة تؤثر على المنتج في تكوينه. تُقدم إدارة الاتصالات والمعلومات الوطنية (NTIA) وصفًا منفصلاً لـ VEX لتوضيح هذه المسألة من قِبل المورد. يجب الاتفاق على نطاق الاستجابة والأدلة دون التعهد باستنتاج قابلية الاستغلال قبل التحليل.

الموافقة على الوصول والاحتفاظ بالبيانات.يمكن تقديم المعلومات عبر قناة خاصة متفق عليها. حدد الجهة التي يمكنها استرجاعها، والجهة المسؤولة عن حفظ المراجع، والإجراءات المتبعة بعد تغيير عقد الدعم. لا تنشر ملفات المكونات أو بيانات الاعتماد الخاصة كجزء من بند من بنود المناقصة العامة.

عرّف عملية التسليم المرتبطة بالتحديث.استفسر عن موعد إصدار المعلومات الجديدة، وكيفية ارتباطها بتغيير البرنامج، وكيف تبقى سجلات الإصدارات القديمة متاحة للأجهزة التي لم يتم تحديثها. لا يعني وجود ملف حالي لأحدث إصدار بالضرورة وصفًا للأجهزة المثبتة سابقًا.

خصص ميزانية للترجمة الفورية.عيّن مسؤولاً قادراً على مراجعة المعرّفات وطرح استفسارات على المورّد. فالملف القابل للقراءة آلياً يحتاج إلى عملية، والمطابقة الآلية تحتاج إلى سياق المنتج. لا تجعل شراء أداة ما وعداً باتخاذ قرارات أمنية تلقائية.

الدليل 7

أفضل آلات البيع الذكية

هذه قائمة مختصرة عامة من مورد واحد، وليست اختبارًا مستقلًا أو تصنيفًا أمنيًا. لم يتم التحقق من أي مرشح لتقديم قائمة مكونات البرمجيات (SBOM)، أو بيان VEX، أو سجل تبعيات كامل، أو خدمة تحديثات مضمونة. اطلب الاطلاع على نطاق الأدلة المكتوبة للبرمجيات مع عرض الأسعار التجاري.

الدليل 8

مقارنة الميزات

تُحدد هذه الاختلافات الجهات التي يجب طرح الأسئلة عليها، ولا تُشير إلى أن أحد التنسيقات يتمتع بأمان أقوى من الآخر. قارن شروط التسليم والدعم الفعلية للمورد بعد تحديد النطاق المطلوب.

الدليل 9

تحليل التكلفة والعائد على الاستثمار

استخدم نموذج إدارة محدود بدلاً من تقدير الحوادث الإلكترونية التي تم تجنبها. افترض مشروعًا تجريبيًا لعشرين خزانة، ومهمة أولية لرسم خرائط الإصدارات تستغرق خمس ساعات بتكلفة 45 دولارًا للساعة، أي ما مجموعه 225 دولارًا. لنفترض أن البحث الاستشاري اليدوي يستغرق ثلاث ساعات شهريًا، وأن سجل الإصدارات المنظم يقلل هذه المدة إلى ساعة واحدة. يُفترض أن يكون فرق تكلفة العمالة 90 دولارًا شهريًا.

بعد خصم الرسوم المفترضة البالغة 30 دولارًا، يتبقى 60 دولارًا. بقسمة 225 دولارًا على 60 دولارًا، نحصل على 3.75 أشهر لاسترداد تكلفة هذا الإعداد المحدود. أما إذا استغرق البحث المُدار ساعتين بدلًا من ذلك، فسيكون الفرق 45 دولارًا قبل الرسوم و15 دولارًا بعدها؛ أي أن فترة الاسترداد ستكون 15 شهرًا. كلا النتيجتين غير قابلتين للقياس.

لا يشمل هذا المثال إنتاج ملفات التكوين، وتحليل الموردين، والتكامل، وتراخيص البرامج، وأعمال الترقيع، وفترات التوقف، والمعدات، وتكاليف التشغيل العادية. ولا يُقيّم هذا المثال أي خرق تم تجنبه أو نتيجة إصلاح مضمونة. إذا لم يتمكن المورد من ربط الأدلة بالإصدارات، فلن يتم تحديد التوفير المقترح. لذا، يُنصح بقياس العمل الفعلي والاستعانة بعروض أسعار مكتوبة قبل اتخاذ القرار.

يُفصّل عرض الأسعار المفيد المعدات الأساسية والخدمات الدورية وأي أعمال إضافية لتسليم الأدلة. كما ينبغي على المشغل تخصيص ميزانية للشخص الذي يراجع المعلومات. شراء أداة تحليل قائمة مكونات الخدمة (SBOM) لا يوفر تلقائيًا بيانات المكونات أو جرد الأسطول الناقص.

الدليل 10

الخيار الأفضل حسب السيناريو

مشروع تجزئة ذو وصول مباشر:اختر ثلاجة الذكاء الاصطناعي عندما تتناسب مع تجربة التسوق. استفسر عن نطاق البرمجيات وملكية الخدمة، بالإضافة إلى التعرف على العبوة الفعلية. لا يمكن لشفافية المكونات أن تحل محل اختبارات القبول التجارية للثلاجة.

أسطول تقليدي لنقل البضائع المعبأة:ابدأ مراجعة WM22 بتحديد الإصدار ونطاق خدمة الإدارة. تأكد من حدود قارئ الدفع. لا تفترض أن حالة تحديث لوحة التحكم تغطي كل جزء من أجزاء التثبيت التي تحتوي على برامج.

برنامج توريد مستلزمات الموظفين:قم بتحديد نموذج بطاقة الموظف المختصرة عند الحاجة إلى صلاحيات وصول محددة. حدد مسؤولية دمج العملاء قبل طلب ملف التكوين. يحتاج المشغل إلى معرفة المورد الذي يمكنه الإجابة على الأسئلة المتعلقة بكل واجهة.

مشترٍ لديه مواصفات SBOM سارية إلزامية:يجب تزويد مقدمي العطاءات بالمتطلبات والنسخة المحددة. هذه المقالة النظرية ليست بديلاً عن ذلك. اطلب عينة ومراجعة معتمدة للتأكد من مطابقة المنتج، مع معالجة أي ثغرات، قبل اعتبار المتطلبات مستوفاة.

الدليل 11

التطبيقات

عند تقديم العطاء، أرفق جدول نطاق العمل الذي يسرد وظائف البرنامج والجهات المسؤولة. اطلب مثالاً على علاقة الإصدار، وطريقة التسليم، وبيان الاستثناءات. هذا يجعل إجابات الموردين المختلفة قابلة للمقارنة دون افتراض أن كل مقدم عطاء يمكنه تقديم ملف واحد كامل.

عند قبول النموذج التجريبي، قارن الإصدار المُثبّت لخزانة العينة مع سجل المورّد. إذا لم يتوفر مُعرّف مدعوم، وثّق هذا النقص واستفسر عن كيفية حله. لا تكفي لقطة شاشة لاسم المنتج لتمييز الإصدارات.

عند إجراء تحديث مُخطط له، احتفظ بالخرائط القديمة والجديدة وسجّل الأصول التي طرأت عليها تغييرات فعلية. قد يبقى جهازٌ ما غير متصل مؤقتًا بالإصدار الأقدم. يجب أن يحتفظ سجل الأجهزة بهذا الغموض إلى حين تأكيد حالة التثبيت.

في تدريب استشاري افتراضي، استخدم هويات وهمية واطلب من جهة الاتصال المعتمدة لدى المورد توضيح إجراءات الاستجابة. سجّل المعلومات المطلوبة ومكان تدخل طرف ثالث. لا تنشر نتائج التدريب كدليل على تحليل حقيقي لإمكانية الاستغلال، أو ضمان وقت الاستجابة، أو نجاح المعالجة.

الدليل 12

التعليمات

الدليل 13

التوصية النهائية

اشترِ علاقةً فعّالةً بين المكونات والإصدارات والخزائن المُستخدمة. اطلب نطاق العمل، والمعرّفات، وأمثلة التسليم، ثمّ وضّح عملية ربط البيانات التي يتبعها المُشغّل. حافظ على فصل تحليل تأثير المورّد وتأكيد التحديث عن وجود ملفّ المكوّن.

توفر صيغ WEIMI العامة الثلاث وظائف مترابطة مختلفة للمناقشة. لا تُحدد أي منها خدمة SBOM أو نتيجة أمنية. يجب طلب نطاق مكتوب ومراجعة مؤهلة لأي مواصفات إلزامية، ثم مقارنة عروض المعدات والدعم على هذا الأساس المؤكد.

تمت قراءة المصدر في 9 أكتوبر 2026:فهرس موارد قائمة مكونات برامج NTIAتدعم أوصافها للمكونات التاريخية، والتنسيق، وسير عمل المستخدم، وموارد VEX هذه الفروقات المفاهيمية. وهي لا تُعرض كقائمة تحقق لأحدث العناصر الدنيا. لم يتم التحقق من أي ملف مكون، أو ثغرة أمنية، أو تقييم قابلية الاستغلال، أو نتيجة تصحيح، أو مطابقة قانونية.

الدليل 14

دعوة للعمل

أرسل إلى WEIMI طريقة البيع بالتجزئة المُقترحة، ونطاق النشر، ومُزوّد ​​خدمة الدفع، ومتطلبات إثبات البرمجيات. حدّد الأنظمة التي تحتاج إلى تغطيتها والمواصفات الدقيقة إن وُجدت. اطلب شرحًا تفصيليًا لتحديد الإصدار، ونموذجًا من الأدلة المُتاحة، وعرض أسعار مُفصّلًا، مع تسجيل مسؤوليات الأطراف الثالثة.