Análisis de brechas de la CRA

Base jurídica de la comparación

Utilice como base de la comparación los requisitos aplicables de la CRA para el producto. Los artículos 6 y 13 establecen las obligaciones relativas al producto y a la evaluación de riesgos; los anexos especifican los requisitos de seguridad y la información que debe facilitarse. Incluya las normas o especificaciones técnicas en las que se apoye la evaluación.

• El artículo 6 y el anexo I determinan los requisitos aplicables al producto y a la gestión de vulnerabilidades.
• El artículo 13 exige la evaluación de riesgos de ciberseguridad y justificar el período de soporte.
• El anexo II enumera la información y las instrucciones para los usuarios.
• El anexo VII enumera el contenido de la documentación técnica.
• El artículo 32 determina la vía de evaluación de la conformidad una vez clasificado el producto.
• Las normas armonizadas u otras especificaciones técnicas pueden ayudar a demostrar cómo se cumplen los requisitos, pero su efecto jurídico depende de su estado.

Qué significa una deficiencia

Una deficiencia puede afectar al producto, al proceso del fabricante o a las pruebas que respaldan una conclusión. Por ejemplo, un mecanismo de actualización puede carecer de verificación de firmas o puede existir, pero no haber resultados de pruebas que demuestren que rechaza un paquete modificado. Estos hallazgos requieren medidas diferentes.

Ejemplo: resolver una deficiencia en las actualizaciones seguras

Un controlador ficticio ya recibe actualizaciones de firmware firmadas, pero el equipo no ha probado si el dispositivo rechaza una imagen firmada con una clave que no es de confianza. La deficiencia inicial consiste en la falta de pruebas. Si los ensayos muestran que el dispositivo acepta la imagen, también se convierte en una deficiencia de implementación.

1. Base: vincule el requisito aplicable del anexo I, la evaluación de riesgos y el diseño de actualización segura. Indique la versión y la configuración exactas del producto.
2. Hallazgo: describa la prueba que falta o el comportamiento observado. Distinga los supuestos no comprobados de los fallos demostrados.
3. Medida: asigne al equipo de firmware la implementación de los cambios necesarios y al equipo de verificación las pruebas de las rutas de actualización afectadas. Fije una fecha de finalización que encaje con la decisión sobre la versión del producto.
4. Pruebas de cierre: adjunte el diseño revisado o la referencia del cambio, los resultados de las pruebas para la compilación pertinente y la evaluación de riesgos actualizada. Justifique si un resultado de prueba existente sigue siendo válido.
5. Revisión: la persona revisora responsable comprueba la deficiencia original frente a las nuevas pruebas. Completar una tarea o cargar un informe no demuestra por sí solo que se haya resuelto.

Para cada deficiencia, identifique el requisito y explique qué falta. Asigne el trabajo y defina el resultado que debe obtenerse para que una persona revisora acepte la corrección. Registre esa revisión junto con las pruebas de respaldo.

Un porcentaje de finalización mide las entradas de esa lista de comprobación. No indica la gravedad de las deficiencias pendientes ni demuestra la conformidad. Un fallo sin resolver en la autenticación de las actualizaciones puede ser más importante que varias tareas de documentación completadas.

Datos de entrada del análisis de deficiencias

El análisis de deficiencias requiere un ámbito de producto definido y una clasificación y vía de evaluación de la conformidad respaldadas. De lo contrario, puede comparar el producto con requisitos que no se aplican o pasar por alto requisitos que sí se aplican.

La evaluación de riesgos es el principal dato de entrada para determinar qué requisitos de producto del anexo I se aplican. La documentación técnica es donde se recopilan el resultado y las pruebas. Véase Evaluación de riesgos de ciberseguridad y Documentación técnica.