Cyber Resilience Act de l’UE
Évaluation des risques et documentation technique au titre du CRA
Le dossier technique exigé par le CRA doit expliquer les risques de cybersécurité du produit et la manière dont le fabricant les traite. Utilisez Sytance pour tenir à jour l’architecture, l’évaluation des risques, le SBOM et les enregistrements de vérification, puis préparer les documents à partir des informations produit examinées par votre équipe.
Les travaux de préparation au CRA
Description du produit
Définissez l’usage prévu, l’environnement d’exploitation, les interfaces et le périmètre du produit. Ces éléments déterminent le champ de l’analyse de sécurité.
Évaluation des risques
Évaluez les menaces au regard de l’architecture du produit. Consignez les risques pertinents, les mesures retenues et les motifs de chaque décision.
Enregistrements de vérification
Reliez les résultats d’essais et les autres preuves aux exigences et aux mesures qu’ils vérifient. Distinguez les activités prévues des essais réalisés.
Documentation technique
Générez les documents à partir des enregistrements recueillis, puis vérifiez les références, la couverture et les informations encore manquantes.
Description du produit
Usage prévu, interfaces et architecture
Évaluation des risques
Menaces, conséquences et mesures retenues
Composants logiciels
SBOM et enregistrements de vulnérabilité
Documents techniques
Analyses, références et preuves d’essai
Justifiez chaque exigence de sécurité
Pour une mise à jour logicielle, l’évaluation des risques peut relever le scénario d’attaque d’un paquet altéré. La conception prévoit une vérification de signature et l’essai vérifie que le produit rejette un paquet modifié. Sytance relie ces enregistrements afin que la personne chargée de l’examen puisse suivre le raisonnement.
Quelle contribution Sytance apporte-t-il à la préparation au CRA ?
La plateforme centralise les informations produit, les menaces, les risques, les composants et les enregistrements justificatifs. Elle prépare aussi les documents techniques à partir de ces éléments. Votre équipe confirme l’applicabilité, comble les lacunes et approuve le contenu destiné à l’évaluation de la conformité.
Quelles informations faut-il préparer ?
Rassemblez la description du produit, son usage prévu, son architecture et ses interfaces externes. Le processus de mise à jour, l’inventaire des composants, l’évaluation des risques existante et les rapports d’essai permettent de déterminer ce qui a déjà été analysé et ce qui reste à vérifier.
La préparation au CRA s’arrête-t-elle une fois le dossier technique rédigé ?
Non. Les vulnérabilités, les changements logiciels et les nouvelles conditions d’exploitation peuvent remettre en cause des conclusions antérieures. Tenez à jour les enregistrements produit et la documentation technique concernés, et définissez les dispositifs de traitement et de signalement des vulnérabilités applicables au produit.
