CRA de la UE: prEN 40000-1-3, gestión de vulnerabilidades
Sytance · Actualizado
prEN 40000-1-3 es el proyecto de norma horizontal sobre gestión de vulnerabilidades. Respalda la parte II del anexo I al convertir la recepción de informes, la verificación, la corrección, la publicación de actualizaciones y las actividades posteriores a la publicación en un proceso estructurado del fabricante.
Estado del proyecto de norma
El texto aquí analizado es un proyecto de norma europea presentado a consulta de CEN. Sirve de base para planificar la gestión de vulnerabilidades; el proyecto no crea por sí mismo una presunción de conformidad con la CRA.
La entrada 15 de M/606 solicita normas europeas sobre la gestión de vulnerabilidades de productos con elementos digitales. El plazo de M/606 para esa entrada es el 30 de agosto de 2026.
Relación con la parte II del anexo I
La parte II del anexo I trata del proceso del fabricante. Abarca la detección y documentación de vulnerabilidades, la visibilidad de los componentes, la corrección, las pruebas, la divulgación, la distribución de actualizaciones y la información a los usuarios una vez disponible una actualización de seguridad.
prEN 40000-1-3 está estructurada en torno a ese proceso. No determina si se activa la obligación de notificación del artículo 14. La notificación con arreglo al artículo 14 es una obligación jurídica independiente para las vulnerabilidades explotadas activamente y los incidentes graves que afectan a la seguridad del producto.
Proceso de gestión de vulnerabilidades
El proyecto utiliza un modelo de ciclo de vida. El proceso comienza antes de que se reciba un informe, porque el fabricante debe tener preparadas las políticas, las vías de contacto, la información sobre componentes y los mecanismos de actualización.
Se preparan las políticas, las vías de divulgación, los canales de comunicación seguros, la identificación del producto, la información sobre componentes, la planificación de pruebas y la distribución de actualizaciones.
El fabricante recibe informes y supervisa fuentes internas y externas para detectar vulnerabilidades que afecten al producto o a sus componentes.
El fabricante comprueba si el informe es válido, si el producto está afectado y cuál es la gravedad de la vulnerabilidad.
El fabricante decide cómo corregir la vulnerabilidad, desarrolla la solución o medida de mitigación y la prueba antes de publicarla.
El fabricante publica la actualización de seguridad, difunde información clara, supervisa su eficacia y mejora el proceso.
Elementos básicos
El proyecto se basa en normas de vulnerabilidades existentes. Utiliza conceptos de divulgación de vulnerabilidades, gestión de vulnerabilidades y divulgación coordinada entre múltiples partes, y los adapta a los productos con elementos digitales y al modelo de período de soporte de la CRA.
Política de divulgación
Un canal público indica a investigadores y usuarios cómo notificar una posible vulnerabilidad.
Visibilidad de componentes
La información sobre los componentes de software y hardware ayuda a analizar el impacto cuando se detecta una vulnerabilidad.
Publicación de actualizaciones
La distribución segura de actualizaciones y los avisos claros ayudan a los usuarios a instalar las correcciones y tomar otras medidas necesarias.
Controles adicionales basados en el riesgo
El proyecto incluye mejoras de requisitos: medidas adicionales que se aplican cuando la evaluación de riesgos del producto indica que se necesita un rigor mayor.
Los productos de mayor riesgo pueden necesitar controles más estrictos para intercambiar información sobre vulnerabilidades con quienes las notifican, los coordinadores, los proveedores previos de la cadena o los usuarios afectados.
El nivel de detalle de los componentes puede aumentar cuando el riesgo del producto justifique un análisis más rápido o preciso del impacto de las vulnerabilidades.
Los hashes pueden ayudar a identificar la versión exacta de un componente de software cuando los nombres y las cadenas de versión no bastan.
Los avisos estructurados pueden ayudar a los clientes y operadores posteriores a procesar información sobre vulnerabilidades a gran escala.
Límite con la notificación
La gestión de vulnerabilidades es un proceso continuo del producto. La notificación del artículo 14 es una obligación independiente que se activa cuando se cumple el supuesto jurídico. Una vulnerabilidad puede gestionarse mediante el proceso sin que deba notificarse con arreglo al artículo 14, y una vulnerabilidad notificable sigue requiriendo que el proceso de gestión la corrija y comunique.
- prEN 40000-1-3 describe cómo organizar el proceso de gestión de vulnerabilidades.
- El artículo 14 establece las condiciones de notificación para vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto.
- El período de soporte determina durante cuánto tiempo debe continuar la gestión de vulnerabilidades.
El supuesto de notificación del artículo 14 se explica en Notificación de vulnerabilidades.