Cyber Resilience Act dell’UE
Valutazione dei rischi e documentazione tecnica per il CRA
Il fascicolo tecnico previsto dal CRA deve spiegare i rischi di cybersicurezza del prodotto e il modo in cui il fabbricante li affronta. Usa Sytance per mantenere architettura, valutazione dei rischi, SBOM e registrazioni di verifica, quindi prepara i documenti sulla base delle informazioni di prodotto esaminate dal team.
Le attività di preparazione al CRA
Descrizione del prodotto
Definisci la destinazione d’uso, l’ambiente operativo, le interfacce e i confini del prodotto. Questi elementi determinano l’ambito dell’analisi di sicurezza.
Valutazione dei rischi
Valuta le minacce rispetto all’architettura del prodotto. Registra i rischi pertinenti, le misure scelte e le motivazioni di ogni decisione.
Registrazioni di verifica
Collega i risultati dei test e le altre evidenze ai requisiti e alle misure verificati. Tieni distinte le attività pianificate dai test completati.
Documentazione tecnica
Genera i documenti dalle registrazioni raccolte, quindi verifica i riferimenti, la copertura e le informazioni ancora necessarie.
Descrizione del prodotto
Destinazione d’uso, interfacce e architettura
Valutazione dei rischi
Minacce, conseguenze e misure selezionate
Componenti software
SBOM e registrazioni delle vulnerabilità
Documenti tecnici
Analisi, riferimenti ed evidenze di test
Spiega perché si applica ogni requisito di sicurezza
Per un aggiornamento software, la valutazione dei rischi potrebbe individuare lo scenario di attacco di un pacchetto manomesso. Il progetto definisce la verifica della firma e il test controlla che il prodotto rifiuti un pacchetto modificato. Sytance collega queste registrazioni affinché chi effettua la revisione possa seguire l’analisi.
Quale contributo offre Sytance alla preparazione al CRA?
La piattaforma mantiene informazioni di prodotto, minacce, rischi, componenti e registrazioni a supporto. Inoltre prepara documenti tecnici a partire da queste registrazioni. Il tuo team conferma l’applicabilità, colma le lacune e approva i contenuti utilizzati per la valutazione della conformità.
Quali informazioni dovremmo preparare?
Raccogli la descrizione del prodotto, la destinazione d’uso, l’architettura e le interfacce esterne. Il processo di aggiornamento, l’inventario dei componenti, la valutazione dei rischi esistente e i rapporti di test aiutano a capire che cosa è già stato analizzato e che cosa resta da verificare.
La preparazione al CRA termina quando il fascicolo tecnico è pronto?
No. Vulnerabilità, modifiche software e nuove condizioni operative possono influire sulle conclusioni precedenti. Mantieni aggiornati le registrazioni pertinenti e la documentazione tecnica e definisci le procedure di gestione e segnalazione delle vulnerabilità applicabili al prodotto.
