Analisi delle lacune CRA
Sytance · Aggiornato
Un’analisi delle lacune rispetto al CRA confronta il prodotto attuale e i processi del fabbricante con i requisiti del CRA applicabili al prodotto. Il termine indica un metodo di attuazione, non un obbligo distinto previsto dal regolamento.
Base giuridica del confronto
Utilizzare come base del confronto i requisiti del CRA applicabili al prodotto. Gli articoli 6 e 13 stabiliscono gli obblighi relativi al prodotto e alla valutazione dei rischi; gli allegati specificano i requisiti di sicurezza e le informazioni da fornire. Includere le norme o le specifiche tecniche utilizzate per la valutazione.
- L’articolo 6 e l’allegato I determinano i requisiti del prodotto e della gestione delle vulnerabilità.
- L’articolo 13 richiede la valutazione dei rischi di cibersicurezza e una motivazione del periodo di supporto.
- L’allegato II elenca le informazioni e le istruzioni per gli utenti.
- L’allegato VII elenca i contenuti della documentazione tecnica.
- L’articolo 32 determina la procedura di valutazione della conformità dopo la classificazione.
- Le norme armonizzate o altre specifiche tecniche possono aiutare a dimostrare come sono soddisfatti i requisiti, ma il loro effetto giuridico dipende dal relativo stato.
Che cosa indica una lacuna
Una lacuna può riguardare il prodotto, il processo del fabbricante o le evidenze a sostegno di una conclusione. Ad esempio, un meccanismo di aggiornamento potrebbe non verificare le firme oppure potrebbe esistere, ma senza risultati di test che dimostrino che rifiuta un pacchetto modificato. Questi riscontri richiedono azioni diverse.
Lacuna nei requisiti
Il prodotto o il processo non soddisfa ancora un requisito applicabile.
Lacuna nelle evidenze
Il prodotto potrebbe disporre della misura, ma la documentazione tecnica non la descrive chiaramente.
Lacuna nell’analisi
La valutazione dei rischi o la motivazione dell’applicabilità manca oppure è troppo generica per il prodotto.
Lacuna nella procedura
Si presume che si applichino norme, certificazioni o procedure di valutazione della conformità, ma tale ipotesi non è supportata dallo stato delle fonti o dalla categoria del prodotto.
Esempio: risolvere una lacuna negli aggiornamenti sicuri
Un controllore fittizio riceve già aggiornamenti del firmware firmati, ma il team non ha verificato se il dispositivo rifiuta un’immagine firmata con una chiave non attendibile. Inizialmente la lacuna riguarda l’assenza di evidenze. Se il test dimostra che il dispositivo accetta l’immagine, diventa anche una lacuna di attuazione.
- Base: collegare il requisito applicabile dell’allegato I, la valutazione dei rischi e la progettazione dell’aggiornamento sicuro. Indicare la versione e la configurazione esatte del prodotto.
- Rilievo: descrivere il test mancante o il comportamento osservato. Tenere distinta un’ipotesi non verificata da un malfunzionamento dimostrato.
- Azione: assegnare al team firmware l’attuazione delle modifiche necessarie e al team di verifica il test dei percorsi di aggiornamento interessati. Stabilire una data di completamento compatibile con la decisione di rilascio del prodotto.
- Evidenze di chiusura: allegare la progettazione rivista o il riferimento alla modifica, i risultati dei test per la build pertinente e la valutazione dei rischi aggiornata. Motivare perché un risultato di test esistente rimane valido, se applicabile.
- Riesame: il revisore responsabile confronta la lacuna originale con le nuove evidenze. Il completamento di un’attività o il caricamento di un rapporto, da soli, non dimostrano che la lacuna sia stata risolta.
Per ogni lacuna, identificare il requisito e spiegare che cosa manca. Assegnare il lavoro e definire il risultato necessario affinché un revisore accetti la correzione. Registrare il riesame insieme alle evidenze di supporto.
Una percentuale di completamento misura le voci della lista di controllo. Non indica la gravità delle lacune rimanenti e non dimostra la conformità. Un problema irrisolto di autenticazione degli aggiornamenti può essere più importante di diverse attività documentali completate.
Elementi di input per l’analisi delle lacune
L’analisi delle lacune richiede un ambito di prodotto definito e una classificazione e procedura di valutazione della conformità supportate. In caso contrario, potrebbe confrontare il prodotto con requisiti non applicabili oppure tralasciare requisiti applicabili.
La valutazione dei rischi è il principale elemento di input per determinare quali requisiti di prodotto dell’allegato I si applicano. La documentazione tecnica raccoglie il risultato e le evidenze. Consultare Valutazione dei rischi di cibersicurezza e Documentazione tecnica.