CRA 취약점 처리 기록

프로세스 의무

제조업체는 디지털 요소 제품을 시장에 출시할 때부터 지원 기간 동안 해당 제품과 구성 요소의 취약점을 효과적으로 처리하고 부속서 I 제II부의 필수 사이버 보안 요구사항을 준수해야 합니다.

규정(EU) 2024/2847 제13조 제8항

의무는 제품을 시장에 출시할 때 시작되어 지원 기간 동안 계속됩니다. 제품과 구성 요소 모두에 적용됩니다.

주요 기록 유형

사례: 구성 요소 경보부터 종결까지

가상의 제어기 펌웨어 릴리스에서 파서 취약점이 발견된 상황을 가정합니다. 아래 6가지 기록은 사례 이력을 구성합니다. 신고 접수, 제품 영향, 시정을 연결하는 방법을 보여주는 예이며 CRA가 정한 양식이나 순서는 아닙니다.

1. 접수: 신고가 들어온 시간, 출처, 구성 요소 및 취약점 식별자, 당시 확인된 정보를 기록합니다. 원본 신고를 보존합니다.
2. 제품 영향: SBOM과 빌드 기록으로 영향을 받을 수 있는 릴리스를 식별합니다. 각 지원 구성에서 공격자가 영향을 받는 파서에 접근할 수 있는지 확인하고 증거와 남아 있는 불확실성을 모두 기록합니다.
3. 보고 판단: 실제 악용 또는 중대한 제품 보안 사고의 증거가 있으면 즉시 제14조 보고 여부를 평가합니다. 기술 조사가 계속되는 동안 인지 시점을 기록하고 적용되는 기한 내에 필수 보고서를 제출합니다.
4. 처리: 제품 위험을 평가하고 수정 또는 완화 조치를 배정하며 필요한 경우 구성 요소 유지관리자와 조정합니다. 선택한 조치와 근거를 보관합니다.
5. 검증 및 릴리스: 수정된 파서와 영향을 받는 제품 기능을 시험하고 시험한 빌드를 보관하며 보안 업데이트, 배포 증거, 사용자 지침을 연결합니다.
6. 종결 및 후속 조치: 검증 결과, 업데이트된 구성 요소 인벤토리, 사용자 안내, 공개 정보를 기록합니다. 효과적인 해결책이 없는 지원 대상 버전은 추가 조치를 위해 미결 상태로 유지합니다.

사례 기록에서는 내부 수정 완료, 필수 보고서 제출, 업데이트의 배포 또는 설치를 구별해야 합니다. 예를 들어 수정 사항을 공개했어도 영향을 받은 사용자가 아직 설치하지 않았다면 후속 조치가 필요할 수 있습니다.

부속서 VII와의 연계

부속서 VII에 따라 기술문서에는 SBOM, 조정된 취약점 공개 정책, 신고 연락처, 안전한 업데이트 배포를 비롯해 취약점 처리 프로세스에 필요한 정보와 사양을 포함해야 합니다.

• 제품의 취약점 이력을 뒷받침하는 기록;
• 취약점 분류와 수정 방법을 설명하는 기록;
• 업데이트 배포와 사용자 안내를 보여주는 기록;
• 적합성 평가를 뒷받침하는 시험 및 검토 보고서.

초안인 「 prEN 40000-1-3 」 페이지에서는 현행 취약점 처리 표준 초안을 자세히 설명합니다.