EUサイバーレジリエンス法

CRAのリスク評価と技術文書

CRAの技術文書では、製品のサイバーセキュリティリスクと製造業者による対応を説明する必要があります。Sytanceでアーキテクチャ、リスク評価、SBOMおよび検証記録を管理し、チームがレビューした製品情報に基づいて文書を作成します。

CRA対応準備に必要な作業

意図された用途、運用環境、インターフェースおよび製品境界を定義します。これらの情報がセキュリティ分析の範囲を定めます。

製品アーキテクチャを踏まえて脅威を評価します。関連するリスク、選択した対策および各判断の根拠を記録します。

テスト結果などの証跡を、確認対象となる要件や対策に関連付けます。計画中の活動と完了したテストは区別して記録します。

収集した記録から文書を作成し、参照情報、網羅性および不足している情報をレビューします。

製品の説明

意図された用途、インターフェース、アーキテクチャ

リスク評価

脅威、影響および選択した対策

ソフトウェアコンポーネント

SBOMと脆弱性記録

技術文書

分析、参照情報およびテスト証跡

ソフトウェア更新では、改ざんされたパッケージを攻撃シナリオとしてリスク評価に記録する場合があります。設計では署名検証を定め、テストでは変更されたパッケージを製品が拒否するかを確認します。Sytanceはこれらの記録を関連付け、レビュー担当者が分析を追跡できるようにします。

プラットフォームでは製品情報、脅威、リスク、コンポーネントおよび関連記録を管理し、それらに基づいて技術文書を作成します。適用可否の確認、不足事項の解消、適合性評価に用いる内容の承認は、チームが行います。

製品の説明、意図された用途、アーキテクチャおよび外部インターフェースをご用意ください。更新プロセス、コンポーネント一覧、既存のリスク評価およびテスト報告書があると、分析済みの事項と今後確認が必要な事項を整理できます。

いいえ。脆弱性、ソフトウェアの変更、新たな運用条件によって、以前の結論が変わる場合があります。関連する製品記録と技術文書を最新の状態に保ち、製品に適用される脆弱性対応・報告の体制を整えてください。