CRA dell'UE: prEN 40000-1-3, gestione delle vulnerabilità
Sytance · Aggiornato
prEN 40000-1-3 è il progetto di norma orizzontale sulla gestione delle vulnerabilità. Supporta la parte II dell’allegato I traducendo la ricezione delle segnalazioni, la verifica, la correzione, il rilascio e le attività successive al rilascio in un processo strutturato del fabbricante.
Stato del progetto di norma
Il testo esaminato in questa pagina è un progetto di norma europea sottoposto all’inchiesta CEN. Fornisce una base per pianificare la gestione delle vulnerabilità; il progetto non crea di per sé una presunzione di conformità al CRA.
La voce 15 di M/606 richiede norme europee sulla gestione delle vulnerabilità dei prodotti con elementi digitali. Il termine previsto da M/606 per questa voce è il 30 agosto 2026.
Rapporto con la parte II dell’allegato I
La parte II dell’allegato I riguarda il processo del fabbricante. Comprende l’individuazione e la documentazione delle vulnerabilità, la visibilità dei componenti, la correzione, i test, la divulgazione, la distribuzione degli aggiornamenti e le informazioni agli utenti una volta disponibile un aggiornamento di sicurezza.
prEN 40000-1-3 è strutturata intorno a tale processo. Non determina se scatta l’obbligo di notifica dell’articolo 14. La notifica prevista dall’articolo 14 è un obbligo giuridico distinto per le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto.
Processo di gestione delle vulnerabilità
Il progetto utilizza un modello del ciclo di vita. Il processo inizia prima della ricezione di una segnalazione, perché il fabbricante deve predisporre politiche, canali di contatto, informazioni sui componenti e meccanismi di aggiornamento.
Si preparano politiche, canali di divulgazione, comunicazioni sicure, identificazione del prodotto, informazioni sui componenti, pianificazione dei test e distribuzione degli aggiornamenti.
Il fabbricante riceve le segnalazioni e monitora fonti interne ed esterne per individuare vulnerabilità che interessano il prodotto o i suoi componenti.
Il fabbricante verifica la validità della segnalazione, se il prodotto è interessato e la gravità della vulnerabilità.
Il fabbricante decide come intervenire, sviluppa la correzione o la misura di mitigazione e la sottopone a test prima del rilascio.
Il fabbricante rilascia l’aggiornamento di sicurezza, pubblica informazioni chiare, ne monitora l’efficacia e migliora il processo.
Elementi fondamentali
Il progetto si basa su norme esistenti in materia di vulnerabilità. Utilizza i concetti di divulgazione delle vulnerabilità, gestione delle vulnerabilità e divulgazione coordinata tra più parti, adattandoli ai prodotti con elementi digitali e al modello del periodo di supporto previsto dal CRA.
Politica di divulgazione
Un canale pubblico indica a ricercatori e utenti come segnalare una potenziale vulnerabilità.
Visibilità dei componenti
Le informazioni sui componenti software e hardware supportano l’analisi dell’impatto quando viene individuata una vulnerabilità.
Rilascio degli aggiornamenti
Una distribuzione sicura degli aggiornamenti e avvisi chiari aiutano gli utenti a installare le correzioni e ad adottare altre misure necessarie.
Controlli aggiuntivi in base al rischio
Il progetto include potenziamenti dei requisiti: misure aggiuntive applicabili quando la valutazione dei rischi del prodotto mostra che è necessario un rigore maggiore.
I prodotti a rischio più elevato possono richiedere controlli più rigorosi per lo scambio di informazioni sulle vulnerabilità con segnalanti, coordinatori, fornitori a monte o utenti interessati.
Il livello di dettaglio dei componenti può aumentare quando il rischio del prodotto giustifica un’analisi dell’impatto delle vulnerabilità più rapida o precisa.
Gli hash possono aiutare a identificare esattamente la versione di un componente software quando nomi e stringhe di versione non bastano.
Avvisi strutturati possono aiutare clienti e operatori a valle a elaborare informazioni sulle vulnerabilità su larga scala.
Confine con la notifica
La gestione delle vulnerabilità è un processo continuo del prodotto. La notifica prevista dall’articolo 14 è un obbligo distinto che scatta quando ricorre la condizione giuridica. Una vulnerabilità può essere gestita secondo il processo senza essere soggetta a notifica ai sensi dell’articolo 14; una vulnerabilità soggetta a notifica deve comunque essere corretta e comunicata attraverso il processo di gestione.
- prEN 40000-1-3 descrive come organizzare il processo di gestione delle vulnerabilità.
- L’articolo 14 stabilisce le condizioni di notifica per le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza del prodotto.
- Il periodo di supporto determina per quanto tempo deve proseguire la gestione delle vulnerabilità.
Il criterio di attivazione dell’articolo 14 è illustrato in Segnalazione delle vulnerabilità.