CRA 갭 분석

Sytance · 업데이트 2026년 10월 6일

CRA 갭 분석은 현행 제품과 제조업체의 프로세스를 해당 제품에 적용되는 CRA 요구사항과 비교합니다. 갭 분석은 규정에 별도의 의무로 명시된 절차가 아니라 이행 방법입니다.

비교의 법적 근거

비교의 기준은 제품에 적용되는 CRA 요구사항이어야 합니다. 제6조와 제13조는 제품 및 위험 평가 의무를 정하고 부속서는 보안 요구사항과 제공할 정보를 명시합니다. 평가의 근거로 삼은 표준이나 기술 사양도 포함합니다.

제6조와 부속서 I은 제품 및 취약점 처리 요구사항을 정합니다.
제13조는 사이버 보안 위험 평가와 지원 기간의 근거를 요구합니다.
부속서 II는 사용자 정보와 지침을 열거합니다.
부속서 VII은 기술문서에 포함할 내용을 열거합니다.
분류 후 제32조에 따라 적합성 평가 경로를 결정합니다.
조화 표준이나 기타 기술 사양은 요구사항을 충족하는 방법을 입증하는 데 도움이 될 수 있지만, 법적 효력은 해당 사양의 상태에 따라 달라집니다.

격차는 제품, 제조업체의 프로세스, 결론을 뒷받침하는 증거에 관한 것일 수 있습니다. 예를 들어 업데이트 메커니즘에 서명 검증 기능이 없거나, 기능은 있지만 변조된 패키지를 거부한다는 시험 결과가 없을 수 있습니다. 이러한 발견에는 서로 다른 조치가 필요합니다.

제품이나 프로세스가 아직 적용 가능한 요구사항을 충족하지 않습니다.

제품에 조치가 구현되어 있을 수 있지만 기술문서가 이를 명확하게 입증하지 못합니다.

제품에 관한 위험 평가나 적용성 판단이 누락되었거나 지나치게 포괄적입니다.

표준, 인증, 적합성 평가 경로를 가정하고 있지만 출처의 상태나 제품 범주로 뒷받침되지 않습니다.

가상의 제어기에 서명된 펌웨어 업데이트 기능은 있지만, 신뢰할 수 없는 키로 서명한 이미지를 기기가 거부하는지 시험하지 않았습니다. 처음에는 증거 누락에 해당합니다. 시험 결과 기기가 이미지를 수락한다면 구현 격차도 됩니다.

근거: 적용되는 부속서 I 요구사항, 위험 평가, 보안 업데이트 설계를 연결합니다. 정확한 제품 버전과 구성을 명시합니다.
발견 사항: 누락된 시험이나 관찰된 동작을 설명합니다. 시험하지 않은 가정과 입증된 실패를 구분합니다.
조치: 필요한 변경은 펌웨어 팀에, 영향을 받는 업데이트 경로의 시험은 검증 팀에 맡깁니다. 제품 릴리스 판단에 맞는 완료 기한을 정합니다.
종결 증거: 개정 설계 또는 변경 참조 정보, 관련 빌드의 시험 결과, 업데이트된 위험 평가를 첨부합니다. 기존 시험 결과가 여전히 유효한 경우 그 근거도 포함합니다.
검토: 책임 있는 검토자가 새로운 증거를 바탕으로 원래의 격차를 확인합니다. 작업 완료 표시나 보고서 업로드만으로 격차가 해소되었다고 볼 수는 없습니다.

각 격차에 대해 해당 요구사항을 식별하고 무엇이 누락되었는지 설명합니다. 작업을 배정하고 검토자가 시정을 수용하는 데 필요한 결과를 정합니다. 뒷받침하는 증거와 함께 검토 결과를 기록합니다.

완료율은 체크리스트 항목의 완료 비율을 측정할 뿐입니다. 남아 있는 격차의 심각성을 나타내거나 적합성을 입증하지 않습니다. 해결되지 않은 업데이트 인증 실패가 완료된 문서 작업 여러 건보다 중요할 수 있습니다.

갭 분석에는 정의된 제품 범위와 근거가 있는 분류 및 적합성 평가 경로가 필요합니다. 그렇지 않으면 적용되지 않는 요구사항과 제품을 비교하거나 실제 적용되는 요구사항을 놓칠 수 있습니다.

위험 평가는 부속서 I 제품 요구사항의 적용 여부를 결정하는 주요 입력 정보입니다. 결과와 증거는 기술문서에 수집합니다. 자세한 내용은 「 사이버 보안 위험 평가 」 및 「 기술문서」를 참조하세요.