EU 사이버 복원력법
CRA 위험 평가 및 기술문서
CRA 기술문서는 제품의 사이버보안 위험과 제조업체의 대응 방식을 설명해야 합니다. Sytance에서 아키텍처, 위험 평가, SBOM 및 검증 기록을 관리한 다음 팀이 검토한 제품 정보를 바탕으로 문서를 준비하세요.
CRA 대응 준비에 필요한 업무
제품 설명
의도된 용도, 운영 환경, 인터페이스 및 제품 경계를 정의합니다. 이러한 사실이 보안 분석의 범위를 정합니다.
위험 평가
제품 아키텍처를 기준으로 위협을 평가합니다. 관련 위험, 선택한 조치 및 각 결정의 근거를 기록합니다.
검증 기록
테스트 결과와 기타 증거를 확인 대상인 요구사항 및 조치에 연결합니다. 계획된 활동과 완료된 테스트를 구분해 기록합니다.
기술문서
수집된 기록을 바탕으로 문서를 생성한 뒤 참조, 범위 충족 여부 및 추가로 필요한 정보를 검토합니다.
제품 설명
의도된 용도, 인터페이스 및 아키텍처
위험 평가
위협, 결과 및 선택한 조치
소프트웨어 구성요소
SBOM 및 취약점 기록
기술문서
분석, 참조 및 테스트 증거
각 보안 요구사항이 필요한 이유를 설명하세요.
소프트웨어 업데이트의 위험 평가에서는 변조된 패키지를 공격 시나리오로 식별할 수 있습니다. 설계에는 서명 검증을 명시하고, 테스트에서는 제품이 수정된 패키지를 거부하는지 확인합니다. Sytance는 이러한 기록을 연결해 검토자가 분석 과정을 추적할 수 있도록 합니다.
Sytance는 CRA 대응 준비를 어떻게 지원하나요?
플랫폼에서 제품 정보, 위협, 위험, 구성요소 및 관련 기록을 관리하고, 해당 기록을 바탕으로 기술문서를 준비합니다. 적용 여부를 확인하고 공백을 해소하며 적합성 평가에 사용할 내용을 승인하는 일은 팀의 책임입니다.
어떤 정보를 준비해야 하나요?
제품 설명, 의도된 용도, 아키텍처 및 외부 인터페이스를 준비하세요. 업데이트 절차, 구성요소 목록, 기존 위험 평가 및 테스트 보고서가 있으면 이미 분석한 사항과 추가 확인이 필요한 사항을 정리하는 데 도움이 됩니다.
기술문서를 작성하면 CRA 대응이 끝나나요?
아니요. 취약점, 소프트웨어 변경 및 새로운 운영 조건에 따라 이전 결론이 달라질 수 있습니다. 관련 제품 기록과 기술문서를 최신 상태로 유지하고 제품에 적용되는 취약점 처리 및 보고 절차를 마련하세요.
