Πράξη για την κυβερνοανθεκτικότητα: ενσωματώστε τις υποχρεώσεις στην ανάπτυξη προϊόντων

Η Πράξη για την κυβερνοανθεκτικότητα (Cyber Resilience Act, CRA) εισάγει υποχρεώσεις κυβερνοασφάλειας στον κύκλο ζωής των καλυπτόμενων προϊόντων με ψηφιακά στοιχεία. Για έναν CTO, το πρακτικό καθήκον είναι να συνδέσει όσα κατασκευάζει, παραδίδει και συντηρεί η μηχανική ομάδα με τα αποδεικτικά στοιχεία που απαιτούνται για να καταδειχθούν αυτές οι υποχρεώσεις.

Η σύνδεση αυτή πρέπει να λειτουργεί σε επίπεδο προϊόντος και έκδοσης. Μια εταιρική πολιτική ασφάλειας δεν εξηγεί αν μια συγκεκριμένη έκδοση έχει ασφαλείς προεπιλογές, ποιες εξαρτήσεις περιέχει ή πώς θα λάβουν οι πελάτες μια ενημέρωση ασφάλειας. Ένα αίτημα ευπάθειας που σημειώνεται ως «διορθώθηκε» δεν αποδεικνύει ποιες υποστηριζόμενες εκδόσεις παραμένουν εκτεθειμένες.

Το χρήσιμο σημείο εκκίνησης είναι επομένως ένα μοντέλο κύκλου ζωής προϊόντος: πεδίο εφαρμογής, απαιτήσεις ασφάλειας, αποδεικτικά στοιχεία έκδοσης, χειρισμός ευπαθειών, δεσμεύσεις υποστήριξης και αποφάσεις με σαφή λογοδοσία. Ενσωματώστε αυτό το μοντέλο στην ανάπτυξη αντί να το συναρμολογείτε ξεχωριστά πριν από μια αξιολόγηση.

Ορίστε το όριο του προϊόντος πριν αναθέσετε μέτρα ελέγχου

Η CRA αφορά προϊόντα με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής της, συμπεριλαμβανομένου καλυπτόμενου υλικού και λογισμικού. Δεν είναι καθολικός κανόνας για κάθε υπηρεσία SaaS. Μια φιλοξενούμενη υπηρεσία και λογισμικό που διανέμεται σε πελάτες μπορεί να απαιτούν διαφορετικές αναλύσεις, και η απομακρυσμένη επεξεργασία που αποτελεί αναπόσπαστο μέρος ενός προϊόντος πρέπει επίσης να εξετάζεται.

Χρησιμοποιήστε την καθοδήγηση της Ευρωπαϊκής Επιτροπής για την CRA ως αρχική αναφορά και, στη συνέχεια, επιλύστε τα νομικά ζητήματα που αφορούν το συγκεκριμένο προϊόν. Καταγράψτε το συμπέρασμα αντί να βασίζεστε σε μια άτυπη παραδοχή της ομάδας.

Για κάθε υποψήφιο προϊόν, προσδιορίστε:

• Τι λαμβάνουν οι πελάτες: υλικό, εγκατεστημένο λογισμικό, στοιχεία προς λήψη ή συνδυασμό τους.
• Ποιες λειτουργίες απομακρυσμένης επεξεργασίας είναι απαραίτητες για να εκτελεί το προϊόν τις λειτουργίες του.
• Πώς διατίθεται το προϊόν στην αγορά της ΕΕ και ποια οντότητα το διαθέτει.
• Τον ρόλο σας ως οικονομικού φορέα: κατασκευαστής, εισαγωγέας, διανομέας ή άλλος σχετικός ρόλος.
• Τις εφαρμοστέες εξαιρέσεις, την ειδική νομοθεσία για το προϊόν και τα ζητήματα ανοιχτού κώδικα.
• Την κατηγορία του προϊόντος και τις απαιτήσεις αξιολόγησης της συμμόρφωσης που προκύπτουν.

Ο ανοιχτός κώδικας χρειάζεται ιδιαίτερη προσοχή. Η μεταχείριση του λογισμικού που διατίθεται εκτός εμπορικής δραστηριότητας δεν σημαίνει ότι ένας εμπορικός κατασκευαστής μπορεί να αγνοήσει τα στοιχεία ανοιχτού κώδικα που είναι ενσωματωμένα στο προϊόν του. Διακρίνετε τη θέση του ανάντη συνεισφέροντα από τη δική σας ευθύνη για το προϊόν που διαθέτετε.

Το μηχανικό παραδοτέο πρέπει να είναι ένα σύντομο αρχείο πεδίου εφαρμογής με αρχιτεκτονικό διάγραμμα, αναγνωριστικά προϊόντος, τις σχετικές εμπορικές οντότητες, τις παραδοχές και ένα εγκεκριμένο συμπέρασμα. Ονομάστε το πρόσωπο που είναι υπεύθυνο να επανεξετάσει αυτό το συμπέρασμα όταν αλλάζει η λειτουργικότητα ή η διανομή.

Για παράδειγμα, μια εφαρμογή διαχείρισης προς λήψη και η φιλοξενούμενη υπηρεσία αναλύσεών της δεν πρέπει να λαμβάνουν αυτομάτως μία αδιαφοροποίητη απόφαση πεδίου εφαρμογής. Προσδιορίστε ποιες λειτουργίες εκτελούνται τοπικά, ποιες εξαρτώνται από την υπηρεσία και αν η απομακρυσμένη αυτή επεξεργασία ανήκει εντός του ορίου του προϊόντος. Η διάκριση αυτή επηρεάζει την εκτίμηση κινδύνου, τα αρχεία εξαρτήσεων και την ευθύνη για τα περιστατικά.

Εργαστείτε με βάση τις τρέχουσες ημερομηνίες εφαρμογής

Η Επιτροπή ορίζει την 11η Σεπτεμβρίου 2026 για τις υποχρεώσεις αναφοράς και την 11η Δεκεμβρίου 2027 για τις κύριες απαιτήσεις της CRA. Στις 7 Οκτωβρίου 2026, η ημερομηνία για τις αναφορές έχει ήδη παρέλθει. Αντιμετωπίστε την ετοιμότητα αναφοράς ως τρέχουσα λειτουργική απαίτηση, όχι ως εργασία που αναβάλλεται έως την προετοιμασία της συμμόρφωσης.

Κρατήστε ορατά δύο ρεύματα εργασίας:

Τα προϊόντα που διατέθηκαν πριν από την κύρια ημερομηνία εφαρμογής απαιτούν προσοχή στις μεταβατικές διατάξεις και στις ουσιώδεις τροποποιήσεις. Μην υποθέτετε ότι ένα παλαιότερο προϊόν είναι άσχετο με τις αναφορές απλώς επειδή η αρχική του κυκλοφορία προηγήθηκε του Δεκεμβρίου 2027.

Διατηρήστε ένα χρονολογημένο μητρώο νομικών απαιτήσεων. Για τα κατώφλια συμβάντων, τις σταδιακές προθεσμίες αναφοράς, τους αποδέκτες και τις διαδικασίες υποβολής, ελέγξτε το τρέχον νομικό κείμενο και την επίσημη καθοδήγηση εφαρμογής. Μην αντικαθιστάτε τη διαδικασία που είναι ειδική για την CRA με ένα γενικό πρότυπο απόκρισης σε περιστατικά.

Μετατρέψτε τις απαιτήσεις ασφάλειας σε κριτήρια σχεδιασμού και έκδοσης

Οι βασικές απαιτήσεις της CRA καλύπτουν ιδιότητες ασφάλειας του προϊόντος και τον χειρισμό ευπαθειών. Η υλοποίησή τους πρέπει να ακολουθεί την εκτίμηση κινδύνων κυβερνοασφάλειας του προϊόντος, αντί για μια καθολική λίστα ελέγχου που εφαρμόζεται χωρίς αρχιτεκτονικό πλαίσιο.

Ξεκινήστε από το πώς μπορεί το προϊόν να προκαλέσει βλάβη. Περιγράψτε χρήστες, περιβάλλοντα ανάπτυξης, εκτεθειμένες διεπαφές, προνομιούχες λειτουργίες, ευαίσθητα δεδομένα και προβλέψιμη κακή χρήση. Συμπεριλάβετε τις λειτουργικές παραδοχές του πελάτη: μια συσκευή που αναπτύσσεται σε βιομηχανικό δίκτυο έχει διαφορετική έκθεση και διαφορετικούς περιορισμούς ανάκτησης από ένα βοηθητικό πρόγραμμα επιφάνειας εργασίας.

Μια πρακτική άσκηση μοντελοποίησης απειλών μπορεί να υποστηρίξει αυτή την εργασία· η καθοδήγηση του OWASP για τη μοντελοποίηση απειλών παρέχει μια καθιερωμένη προσέγγιση. Το αποτέλεσμα πρέπει να συνδέει τις απειλές με συγκεκριμένες απαιτήσεις, αποφάσεις υλοποίησης και δοκιμές.

Δείτε πώς γίνονται δοκιμάσιμες γνωστές απαιτήσεις:

Αυτά είναι πρακτικά παραδείγματα υλοποίησης, όχι υποκατάστατο των εφαρμοστέων απαιτήσεων. Προσδιορίστε τη συνάφεια και την επάρκεια μέσω της εκτίμησης κινδύνου.

Προσθέστε κριτήρια αποδοχής ασφάλειας στην εργασία ανάπτυξης λειτουργιών. Ένα νέο διαχειριστικό API πρέπει να συνοδεύεται από αποφάσεις για ταυτοποίηση, εξουσιοδότηση, χειρισμό εισόδων και καταγραφή, όχι από την υπόσχεση ότι η ομάδα ασφάλειας θα το επιθεωρήσει αργότερα. Επανεξετάστε το μοντέλο απειλών όταν προσθέτετε απομακρυσμένη διεπαφή, προνομιούχο στοιχείο ή νέο όριο εμπιστοσύνης.

Η έγκριση έκδοσης πρέπει να προσδιορίζει τις ανεπίλυτες ευπάθειες, τη δυνατότητα εκμετάλλευσής τους, τις επηρεαζόμενες διαμορφώσεις και την αντιμετώπισή τους. Εφαρμόστε την απαίτηση της CRA να διατίθενται τα προϊόντα στην αγορά χωρίς γνωστές εκμεταλλεύσιμες ευπάθειες, λαμβάνοντας υπόψη την εκτίμηση κινδύνου και τις εφαρμοστέες βασικές απαιτήσεις· η καταγραφή ή η αποδοχή ενός κινδύνου δεν ικανοποιεί από μόνη της αυτή την απαίτηση. Ένα αποτέλεσμα σαρωτή από μόνο του δεν μπορεί να λάβει αυτή την απόφαση: η προσβασιμότητα, οι προϋποθέσεις και η συμπεριφορά του προϊόντος έχουν σημασία. Αντίστροφα, μια χαμηλή αριθμητική βαθμολογία σοβαρότητας δεν είναι επαρκής λόγος για να αγνοηθεί μια ευπάθεια που έχει σημαντικές συνέπειες στο δικό σας μοντέλο ανάπτυξης.

Το αρχείο έκδοσης πρέπει να συνδέει την εγκεκριμένη αναθεώρηση πηγαίου κώδικα, το τεχνούργημα μεταγλώττισης, την απογραφή εξαρτήσεων, τα αποτελέσματα δοκιμών και την απόφαση ασφάλειας. Έτσι η αξιολόγηση γίνεται αναπαραγώγιμη όταν ένας πελάτης ή μια αρχή ρωτήσει αργότερα για μια συγκεκριμένη έκδοση.

Κάντε τη δέουσα επιμέλεια για τα στοιχεία μέρος της διαδικασίας μεταγλώττισης

Τα στοιχεία τρίτων δημιουργούν υποχρεώσεις που δεν μπορούν να εκπληρωθούν με την απλή προώθηση μιας ανάντη ειδοποίησης ασφάλειας. Πρέπει να κατανοείτε τι παραδώσατε, αν επηρεάζεται και πώς μπορείτε να το αποκαταστήσετε.

Η CRA περιλαμβάνει απαίτηση για κατάλογο υλικών λογισμικού (SBOM) στις απαιτήσεις χειρισμού ευπαθειών: σε ευρέως χρησιμοποιούμενο, μηχαναγνώσιμο μορφότυπο που καλύπτει τουλάχιστον τις εξαρτήσεις ανώτατου επιπέδου. Ως πρακτική σύσταση, καταγράψτε πληροφορίες για βαθύτερες εξαρτήσεις όπου τα εργαλεία μεταγλώττισης μπορούν να παραγάγουν αξιόπιστα αποτελέσματα. Οι μεταβατικές εξαρτήσεις συχνά καθορίζουν την έκθεση.

Ένα SBOM είναι χρήσιμο μόνο όταν αντιστοιχεί σε ένα πραγματικό τεχνούργημα προϊόντος. Συσχετίστε το με το αναγνωριστικό της έκδοσης και τη μεταγλώττιση και διακρίνετε τα στοιχεία που παραδίδονται από τα εργαλεία που χρησιμοποιούνται μόνο στην ανάπτυξη. Συμπεριλάβετε υλικολογισμικό, πακέτα λειτουργικού συστήματος, ενσωματωμένες βιβλιοθήκες και εμπορικά στοιχεία όπου είναι σχετικό· μια εξαγωγή από διαχειριστή πακέτων μπορεί να παραλείπει αρκετά από αυτά.

Οργανώστε την επισκόπηση των στοιχείων γύρω από ερωτήματα που αλλάζουν τις μηχανικές αποφάσεις:

• Συντηρείται το στοιχείο και είναι η υποστηριζόμενη διάρκεια ζωής του συμβατή με τη δική μας;
• Μπορούμε να λαμβάνουμε έγκαιρα πληροφορίες για ευπάθειες και ενημερώσεις ασφάλειας;
• Έχουμε πρόσβαση στον πηγαίο κώδικα, διαδρομή διορθώσεων από τον προμηθευτή ή στρατηγική αντικατάστασης;
• Εισάγει το στοιχείο προνομιούχα εκτέλεση ή νέα εξωτερική σύνδεση;
• Μπορεί το προϊόν να συνεχίσει να συντηρείται αν ο προμηθευτής σταματήσει να το υποστηρίζει;

Για τα εμπορικά στοιχεία, το τμήμα προμηθειών πρέπει να εξασφαλίζει επαφές ασφάλειας, ρυθμίσεις ειδοποίησης και πρόσβαση σε διορθώσεις. Ο χρονισμός του προμηθευτή πρέπει να αφήνει χώρο για τη δική σας αξιολόγηση και τις υποχρεώσεις αναφοράς σας. Ο κατασκευαστής του προϊόντος εξακολουθεί να χρειάζεται εσωτερική οδό κλιμάκωσης όταν η απάντηση ενός προμηθευτή είναι ελλιπής.

Για τις εξαρτήσεις ανοιχτού κώδικα, διατηρήστε την προέλευση και ένα ρεαλιστικό σχέδιο συντήρησης. Το ότι ένα αποθετήριο είναι δημόσια προσβάσιμο δεν αποδεικνύει ότι κάποιος θα παραγάγει συμβατή διόρθωση κατά την περίοδο υποστήριξής σας.

Σχεδιάστε μαζί την περίοδο υποστήριξης και τον μηχανισμό ενημερώσεων

Η υποστήριξη είναι μηχανική δέσμευση με εμπορικές συνέπειες. Η CRA απαιτεί γενικά περίοδο υποστήριξης τουλάχιστον πέντε ετών, εκτός αν η αναμενόμενη περίοδος χρήσης του προϊόντος είναι μικρότερη. Προσδιορίστε την εφαρμοστέα περίοδο με βάση τα κριτήρια του κανονισμού αντί να επιλέγετε μια αυθαίρετη ημερομηνία που ταιριάζει στον οδικό χάρτη.

Καταγράψτε το σκεπτικό, κοινοποιήστε στους πελάτες τις απαιτούμενες πληροφορίες υποστήριξης και συνδέστε τις με τις συντηρούμενες εκδόσεις του προϊόντος. Η δέσμευση υποστήριξης πρέπει να λαμβάνει υπόψη την ικανότητα παράδοσης ενημερώσεων ασφάλειας, όχι απλώς τη διατήρηση μιας διεύθυνσης υποστήριξης.

Πριν εγκρίνετε το σχέδιο υποστήριξης ενός προϊόντος, ρωτήστε αν μπορείτε να:

• Επαναμεταγλωττίσετε παλαιότερους υποστηριζόμενους κλάδους με συντηρούμενες αλυσίδες εργαλείων.
• Παράγετε, ταυτοποιείτε και διανέμετε με ασφάλεια ενημερώσεις ασφάλειας.
• Δοκιμάζετε διορθώσεις σε όλο το υποστηριζόμενο υλικό και τις διαμορφώσεις ανάπτυξης.
• Συντηρείτε κλειδιά υπογραφής και ανακάμπτετε με ασφάλεια από παραβίαση κλειδιού.
• Διατηρείτε διαθέσιμες τις πληροφορίες ενημερώσεων και ασφάλειας που απευθύνονται στους πελάτες.
• Χειρίζεστε εξαρτήσεις των οποίων η ανάντη υποστήριξη λήγει πριν από τη δική σας.

Οι ενημερώσεις ασφάλειας παρέχονται κατά κανόνα δωρεάν κατά την περίοδο υποστήριξης, με την επιφύλαξη των διατάξεων του κανονισμού. Κάθε ενημέρωση ασφάλειας που εκδίδεται κατά την περίοδο αυτή πρέπει να παραμένει διαθέσιμη για τουλάχιστον δέκα έτη μετά την έκδοσή της ή για το υπόλοιπο της περιόδου υποστήριξης, όποιο είναι μεγαλύτερο. Σχεδιάστε τις διορθώσεις ασφάλειας ξεχωριστά από την ανάπτυξη λειτουργιών, ώστε οι πελάτες να μην αναγκάζονται άσκοπα σε άσχετες λειτουργικές αλλαγές.

Δοκιμάστε περισσότερα από το ιδανικό σενάριο. Η διακοπείσα εγκατάσταση, ο ανεπαρκής χώρος αποθήκευσης, τα ληγμένα διαπιστευτήρια και η αποτυχημένη επαλήθευση μπορούν να μετατρέψουν μια έγκυρη διόρθωση σε πρόβλημα διαθεσιμότητας. Αποφασίστε ποιοι μηχανισμοί ανάκτησης χρειάζονται για το προφίλ κινδύνου του προϊόντος.

Στη λήξη της υποστήριξης, η επικοινωνία με τους πελάτες και τα εσωτερικά αρχεία πρέπει να συμφωνούν. Μην αφήνετε μια σελίδα λήψης να υπονοεί συνεχιζόμενη συντήρηση ασφάλειας όταν το μητρώο προϊόντων αναφέρει ότι η δέσμευση έχει λήξει.

Δημιουργήστε ένα εγχειρίδιο αναφοράς που αντέχει στην αβεβαιότητα

Ένα συνηθισμένο εύρημα ευπάθειας, μια ενεργά εκμεταλλευόμενη ευπάθεια και ένα σοβαρό περιστατικό ασφάλειας δεν είναι εναλλάξιμα. Η διαδικασία αναφοράς της CRA χρειάζεται τεκμηριωμένη αξιολόγηση του σχετικού εναύσματος, όχι αυτόματη αναφορά κάθε ειδοποίησης σαρωτή ούτε αυτόματη απόρριψη οποιουδήποτε ζητήματος χωρίς ολοκληρωμένη εγκληματολογική διερεύνηση.

Το εγχειρίδιο πρέπει να ξεκινά από την παραλαβή. Οι ερευνητές, η υποστήριξη πελατών, οι προμηθευτές και οι μηχανικές ομάδες χρειάζονται μια γνωστή οδό προς τη λειτουργία ασφάλειας προϊόντων. Διατηρήστε την αρχική αναφορά και καταγράψτε πότε έγιναν γνωστές οι σχετικές πληροφορίες· μη μηδενίζετε τις χρονοσφραγίδες γνώσης όταν ένα αίτημα αλλάζει ομάδα.

Για δυνητικά αναφέρσιμα συμβάντα, συλλέξτε:

• Αναγνωριστικά προϊόντος και επηρεαζόμενες υποστηριζόμενες εκδόσεις.
• Αποδεικτικά στοιχεία εκμετάλλευσης ή αντικτύπου του περιστατικού, με βαθμό βεβαιότητας και αβεβαιότητες.
• Γνωστές συνθήκες επίθεσης, επηρεαζόμενες λειτουργίες και παραδοχές ανάπτυξης.
• Διαθέσιμα μέτρα μετριασμού και την κατάσταση των διορθωτικών μέτρων.
• Την αξιολόγηση του εναύσματος, τον υπεύθυνο αναφοράς και τους υπολογισμούς των εφαρμοστέων προθεσμιών.
• Υποβληθείσες ειδοποιήσεις, βεβαιώσεις παραλαβής, μεταγενέστερες ενημερώσεις και επικοινωνίες με πελάτες.

Ελέγξτε τις σταδιακές προθεσμίες γνωστοποίησης, τις απαιτήσεις τελικής έκθεσης, τους αποδέκτες και την τρέχουσα διαδικασία αναφοράς σε σχέση με επίσημες πηγές. Οι ενεργά εκμεταλλευόμενες ευπάθειες και τα σοβαρά περιστατικά έχουν διακριτές λεπτομέρειες αναφοράς· ένα αντιγραμμένο πεδίο προθεσμίας δεν αρκεί.

Ορίστε έναν κύριο υπεύθυνο αναφοράς και έναν αναπληρωτή με εξουσία συντονισμού της μηχανικής, της νομικής και της επικοινωνίας με τους πελάτες. Εξασφαλίστε εκ των προτέρων πρόσβαση στον εφαρμοστέο μηχανισμό αναφοράς. Η νομική επισκόπηση πρέπει να είναι διαθέσιμη εντός του παραθύρου αναφοράς αντί να γίνεται μια απεριόριστη ουρά εγκρίσεων.

Ασκηθείτε στη διαδικασία με ελλιπείς πληροφορίες. Μια χρήσιμη πρόβα ξεκινά με μια αξιόπιστη αναφορά εκμετάλλευσης, έναν αβέβαιο κατάλογο επηρεαζόμενων εκδόσεων και έναν μη διαθέσιμο προμηθευτή στοιχείου. Η ομάδα πρέπει να μπορεί να λάβει έγκαιρη, τεκμηριωμένη απόφαση αναφοράς ενώ η διερεύνηση συνεχίζεται.

Η αναφορά κατά την CRA δεν αντικαθιστά άλλες εφαρμοστέες υποχρεώσεις. Ένα συμβάν προϊόντος θα μπορούσε επίσης να απαιτεί αξιολόγηση βάσει της νομοθεσίας για την προστασία δεδομένων ή μιας σύμβασης με πελάτη. Συντονίστε αυτές τις αξιολογήσεις, αλλά διατηρήστε τα ξεχωριστά εναύσματα, τους αποδέκτες και τα αρχεία αποφάσεών τους.

Επιβεβαιώστε την κατάταξη πριν επιλέξετε το σχέδιο αξιολόγησης

Η κατάταξη του προϊόντος επηρεάζει τη διαθέσιμη διαδικασία αξιολόγησης της συμμόρφωσης. Μην υποθέτετε ότι κάθε συνδεδεμένο προϊόν χρειάζεται την ίδια εξωτερική αξιολόγηση ή ότι κάθε κατασκευαστής μπορεί να βασιστεί σε εσωτερική αξιολόγηση.

Προσδιορίστε την εφαρμοστέα κατηγορία από τις λειτουργίες του προϊόντος και τους ορισμούς και τα παραρτήματα του κανονισμού. Στη συνέχεια, επιβεβαιώστε την επιτρεπόμενη διαδικασία, συμπεριλαμβανομένων τυχόν όρων που αφορούν εναρμονισμένα πρότυπα, αναγνωρισμένες προδιαγραφές, συστήματα πιστοποίησης ή αξιολόγηση από τρίτους.

Ο σχεδιασμός για τα πρότυπα χρειάζεται ρητό μητρώο εξαρτήσεων: ποιες αναφορές είναι εφαρμοστέες, ποια είναι η τρέχουσα κατάστασή τους και τι αλλάζει αν μια αναμενόμενη διαδικασία δεν είναι διαθέσιμη. Αποφύγετε να εξαρτάται το σχέδιο εκδόσεων από μια ανεπιβεβαίωτη παραδοχή για τα πρότυπα ή τη διαθέσιμη ικανότητα αξιολόγησης.

Επανεξετάστε την κατάταξη όταν αλλάζει η λειτουργικότητα. Η προσθήκη δυνατοτήτων διαχείρισης ασφάλειας ή ελέγχου δικτύου μπορεί να επηρεάσει την ανάλυση, αλλά το όνομα μιας λειτουργίας από μόνο του δεν καθορίζει μια κατηγορία. Αξιολογήστε την πραγματική λειτουργία και τεκμηριώστε το συμπέρασμα.

Κρατήστε την κατάταξη, την επιλεγμένη διαδικασία και τα παραδοτέα της συμμόρφωσης συνδεδεμένα με τον τεχνικό φάκελο. Η σήμανση CE και η δήλωση συμμόρφωσης πρέπει να ακολουθούν την εφαρμοστέα διαδικασία· δεν υποκαθιστούν την υλοποίηση των υποκείμενων απαιτήσεων.

Διατηρήστε έναν φάκελο αποδεικτικών στοιχείων που μπορεί να εξηγήσει μια έκδοση

Ο τεχνικός φάκελος πρέπει να περιγράφει τόσο το προϊόν όσο και το σκεπτικό πίσω από τις αποφάσεις ασφάλειάς του. Διατηρήστε τις εκτιμήσεις κινδύνου και την τεκμηρίωση καθώς αλλάζει το προϊόν και εφαρμόστε τις νόμιμες απαιτήσεις διατήρησης στα σχετικά αρχεία.

Ένας χρήσιμος φάκελος αποδεικτικών στοιχείων προϊόντος περιλαμβάνει την απόφαση πεδίου εφαρμογής, την αρχιτεκτονική, την εκτίμηση κινδύνου, τις απαιτήσεις ασφάλειας, τις πληροφορίες για τα στοιχεία, τα αποτελέσματα επαλήθευσης, τις διαδικασίες χειρισμού ευπαθειών, το σκεπτικό υποστήριξης και τα αρχεία συμμόρφωσης. Κάθε στοιχείο χρειάζεται υπεύθυνο και αναγνωρίσιμη έκδοση.

Χρησιμοποιήστε σταθερά αναγνωριστικά για να συνδέσετε αυτά τα αρχεία. Ένα αρχείο ευπάθειας πρέπει να εξηγεί τις επηρεαζόμενες εκδόσεις, την έκθεση, την αντιμετώπιση, την έκδοση διόρθωσης και την απαιτούμενη επικοινωνία. Το «Διορθώθηκε» χωρίς πλαίσιο έκδοσης αφήνει ελλιπή τα αποδεικτικά στοιχεία του προϊόντος.

Οι υπάρχουσες διαδικασίες του ΣΔΑΠ μπορούν να παρέχουν χρήσιμα αποδεικτικά στοιχεία για τη διακυβέρνηση, τους προμηθευτές και την ασφαλή ανάπτυξη. Ωστόσο, το ISO 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο εφαρμογής· η πιστοποίηση δεν αποδεικνύει τη συμμόρφωση ενός μεμονωμένου προϊόντος με την CRA. Επαναχρησιμοποιήστε τα σχετικά αποδεικτικά στοιχεία χωρίς να αντιμετωπίζετε τις αντιστοιχίσεις πλαισίων ως νομική ισοδυναμία.

Παράδειγμα: ελάττωμα εξάρτησης σε υποστηριζόμενη συσκευή

Ας εξετάσουμε έναν ενδεικτικό κατασκευαστή που διαθέτει στην ΕΕ μια συσκευή συνδεδεμένη στο δίκτυο. Ας υποθέσουμε ότι το πεδίο εφαρμογής και η κατάταξή της έχουν επισκοπηθεί, ότι δύο κλάδοι εκδόσεων παραμένουν υποστηριζόμενοι και ότι μια ενσωματωμένη βιβλιοθήκη αναφέρεται ως ενεργά εκμεταλλευόμενη αλλού.

Το πρώτο καθήκον δεν είναι να κλείσει η ανάντη ανακοίνωση. Η μηχανική ομάδα προσδιορίζει ποιες εκδόσεις της συσκευής περιέχουν την ευάλωτη βιβλιοθήκη και αν η επηρεαζόμενη λειτουργία είναι προσβάσιμη. Το SBOM υποδεικνύει ότι και οι δύο κλάδοι την περιέχουν, αλλά η ανάλυση διαμόρφωσης δείχνει διαφορετική έκθεση. Η διάκριση αυτή καταγράφεται με υποστηρικτικά αποδεικτικά στοιχεία.

Ο υπεύθυνος ασφάλειας προϊόντων αξιολογεί στη συνέχεια αν τα διαθέσιμα γεγονότα πληρούν το εφαρμοστέο έναυσμα αναφοράς της CRA. Η αβεβαιότητα για μία διαμόρφωση ανάπτυξης καταγράφεται· δεν δικαιολογεί να μείνει ανώνυμος ο υπεύθυνος της απόφασης. Το εγχειρίδιο αναφοράς παρέχει τα τρέχοντα στάδια και τη διαδικασία γνωστοποίησης.

Η μηχανική ομάδα αναπτύσσει έναν προσωρινό μετριασμό και μια διορθωμένη έκδοση για κάθε επηρεαζόμενο κλάδο. Οι δοκιμές καλύπτουν την ευάλωτη διαδρομή, την κανονική λειτουργία και την ταυτοποιημένη εγκατάσταση ενημερώσεων. Αν ένας κλάδος δεν μπορεί να χρησιμοποιήσει την ανάντη διόρθωση, η ομάδα καταγράφει την εναλλακτική αντιμετώπιση και τον υπολειπόμενο κίνδυνο αντί να σημειώσει ολόκληρο το προϊόν ως διορθωμένο.

Η επικοινωνία με τους πελάτες προσδιορίζει τις επηρεαζόμενες εκδόσεις, τις άμεσες προστατευτικές ενέργειες και τον τρόπο απόκτησης της ενημέρωσης. Ο χρονισμός της δημοσιοποίησης συντονίζεται με τις εφαρμοστέες απαιτήσεις χειρισμού ευπαθειών και τυχόν δικαιολογημένους λόγους ασφάλειας.

Το ολοκληρωμένο αρχείο συνδέει την ανακοίνωση, την ανάλυση των επηρεαζόμενων εκδόσεων, την απόφαση αναφοράς, τις υποβολές όπου απαιτούνται, τις δεσμεύσεις κώδικα της διόρθωσης, τα αποτελέσματα δοκιμών, τα τεχνουργήματα έκδοσης και τις επικοινωνίες. Ένας αξιολογητής μπορεί πλέον να ανασυνθέσει τόσο τη μηχανική απόκριση όσο και την απόφαση συμμόρφωσης.

Ξεκινήστε με ένα προϊόν και μία πλήρη αλυσίδα αποδεικτικών στοιχείων

Επιλέξτε ένα αντιπροσωπευτικό υποστηριζόμενο προϊόν και ανιχνεύστε μία πρόσφατη έκδοση και μία ευπάθεια σε όλο τον κύκλο ζωής. Οι ελλείπουσες συνδέσεις εκδόσεων, οι ασαφείς δεσμεύσεις υποστήριξης και οι μη προσβάσιμες διαδικασίες αναφοράς θα γίνουν γρήγορα ορατές. Μετατρέψτε κάθε κενό σε εργασία με υπεύθυνο και, στη συνέχεια, επεκτείνετε το μοντέλο σε όλο το χαρτοφυλάκιο.

Το Secani μπορεί να υποστηρίξει αυτή τη ροή εργασίας αποδεικτικών στοιχείων συνδέοντας απαιτήσεις, αποδεικτικά στοιχεία, υπευθύνους, εργασίες και αποφάσεις επισκόπησης. Τα μηχανικά εργαλεία παραμένουν οι λειτουργικές πηγές για μεταγλωττίσεις, εκδόσεις και ευπάθειες· ο χώρος εργασίας συμμόρφωσης συσχετίζει αυτά τα αρχεία με την εφαρμοστέα υποχρέωση. Κρατήστε ρητή την ανθρώπινη έγκριση για αντιστοιχίσεις και συμπεράσματα και διατηρήστε την ανιχνευσιμότητα των πηγών όταν χρησιμοποιείτε προσχέδια με τη βοήθεια ΤΝ.

Το άμεσο επόμενο βήμα είναι να δοκιμάσετε το εγχειρίδιο αναφοράς. Παράλληλα, απαιτήστε η επόμενη έκδοση προϊόντος να φέρει συνδεδεμένη απόφαση πεδίου εφαρμογής, τρέχουσα εκτίμηση κινδύνου, απογραφή στοιχείων και έγκριση ασφάλειας. Έτσι δημιουργείται μια επαναλήψιμη μηχανική πρακτική ενώ προχωρά η προετοιμασία της συμμόρφωσης.