Reglamento de Ciberresiliencia (CRA) de la UE
Evaluación de riesgos y documentación técnica para el CRA
El expediente técnico del CRA debe explicar los riesgos de ciberseguridad del producto y cómo los aborda el fabricante. Use Sytance para mantener la arquitectura, la evaluación de riesgos, la SBOM y los registros de verificación; después, prepare la documentación a partir de la información del producto que haya revisado su equipo.
Trabajo necesario para preparar el cumplimiento del CRA
Descripción del producto
Defina el uso previsto, el entorno operativo, las interfaces y los límites del producto. Estos datos determinan el alcance del análisis de seguridad.
Evaluación de riesgos
Evalúe las amenazas en relación con la arquitectura del producto. Registre los riesgos pertinentes, las medidas elegidas y los motivos de cada decisión.
Registros de verificación
Vincule los resultados de las pruebas y otras evidencias con los requisitos y las medidas que comprueban. Mantenga separadas las actividades previstas de las pruebas ya realizadas.
Documentación técnica
Genere documentos a partir de los registros recopilados y, después, revise las referencias, la cobertura y la información que aún falta.
Descripción del producto
Uso previsto, interfaces y arquitectura
Evaluación de riesgos
Amenazas, consecuencias y medidas seleccionadas
Componentes de software
SBOM y registros de vulnerabilidades
Documentación técnica
Análisis, referencias y evidencias de pruebas
Explique el motivo de cada requisito de seguridad
En una actualización de software, la evaluación de riesgos puede identificar un paquete manipulado como escenario de ataque. El diseño especifica la verificación de la firma y la prueba comprueba si el producto rechaza un paquete modificado. Sytance relaciona estos registros para que quien los revise pueda seguir el análisis.
¿Qué aporta Sytance a la preparación para el CRA?
La plataforma mantiene información del producto, amenazas, riesgos, componentes y registros de apoyo. También prepara documentación técnica a partir de esos registros. Su equipo confirma la aplicabilidad, resuelve las carencias y aprueba el contenido que se utilizará en la evaluación de conformidad.
¿Qué información deberíamos preparar?
Reúna la descripción del producto, el uso previsto, la arquitectura y las interfaces externas. El proceso de actualización, el inventario de componentes, la evaluación de riesgos existente y los informes de pruebas ayudan a determinar qué se ha analizado ya y qué queda por comprobar.
¿La preparación para el CRA termina cuando se redacta el expediente técnico?
No. Las vulnerabilidades, los cambios de software y las nuevas condiciones de funcionamiento pueden afectar a conclusiones anteriores. Mantenga actualizados los registros pertinentes del producto y la documentación técnica, y establezca los procedimientos de gestión y notificación de vulnerabilidades que correspondan al producto.
