EU-CRA: afhandeling van kwetsbaarheden volgens prEN 40000-1-3
Sytance · Bijgewerkt
prEN 40000-1-3 is de ontwerp-horizontale norm voor de afhandeling van kwetsbaarheden. De norm ondersteunt bijlage I, deel II, door het ontvangen, verifiëren, verhelpen en bekendmaken van kwetsbaarheden en het werk na publicatie om te zetten in een gestructureerd fabrikantproces.
Status van het ontwerp
De hier besproken tekst is een ontwerp van een Europese norm dat ter openbare raadpleging aan CEN is voorgelegd. Het biedt een basis voor het plannen van de afhandeling van kwetsbaarheden; het ontwerp zelf leidt niet tot een vermoeden van overeenstemming met de CRA.
In verzoek M/606, punt 15, wordt gevraagd om Europese normen voor de afhandeling van kwetsbaarheden in producten met digitale elementen. De deadline in M/606 voor dit punt is 30 augustus 2026.
Relatie met bijlage I, deel II
Bijlage I, deel II gaat over het proces van de fabrikant. Dit deel omvat het opsporen en documenteren van kwetsbaarheden, inzicht in componenten, herstelmaatregelen, testen, bekendmaking, distributie van updates en gebruikersinformatie zodra een beveiligingsupdate beschikbaar is.
prEN 40000-1-3 is op dat proces gebaseerd. De norm bepaalt niet of de meldingsplicht van artikel 14 van toepassing is. Meldingen op grond van artikel 14 zijn een afzonderlijke wettelijke verplichting voor actief uitgebuite kwetsbaarheden en ernstige incidenten die de productbeveiliging aantasten.
Proces voor de afhandeling van kwetsbaarheden
Het ontwerp gebruikt een levenscyclusmodel. Het proces begint al voordat een melding binnenkomt, omdat de fabrikant beleid, contactkanalen, componentinformatie en updatemechanismen moet hebben ingericht.
Beleid, kanalen voor bekendmaking, beveiligde communicatie, productidentificatie, componentinformatie, testplanning en distributie van updates worden voorbereid.
De fabrikant ontvangt meldingen en monitort interne en externe bronnen op kwetsbaarheden die het product of de componenten ervan treffen.
De fabrikant controleert of de melding geldig is, of het product getroffen is en hoe ernstig de kwetsbaarheid is.
De fabrikant besluit welke herstelmaatregel nodig is, ontwikkelt de oplossing of beperking en test deze voordat deze wordt uitgebracht.
De fabrikant brengt de beveiligingsupdate uit, publiceert duidelijke informatie, monitort de doeltreffendheid en verbetert het proces.
Bouwstenen
Het ontwerp bouwt voort op bestaande normen voor kwetsbaarheden. Het gebruikt concepten voor bekendmaking van kwetsbaarheden, afhandeling van kwetsbaarheden en gecoördineerde bekendmaking door meerdere partijen, en past deze vervolgens aan voor producten met digitale elementen en het CRA-model voor ondersteuningsperioden.
Beleid voor bekendmaking
Een openbaar kanaal laat onderzoekers en gebruikers weten hoe zij een mogelijke kwetsbaarheid kunnen melden.
Inzicht in componenten
Informatie over software- en hardwarecomponenten ondersteunt de impactanalyse wanneer een kwetsbaarheid wordt ontdekt.
Uitbrengen van updates
Een beveiligde distributie van updates en duidelijke adviezen helpen gebruikers oplossingen te installeren en andere noodzakelijke maatregelen te nemen.
Aanvullende risicogebaseerde maatregelen
Het ontwerp bevat aanscherpingen van vereisten. Dit zijn aanvullende maatregelen die van toepassing zijn wanneer uit de risicobeoordeling van het product blijkt dat meer zorgvuldigheid nodig is.
Voor producten met een hoger risico kunnen strengere controles nodig zijn voor het uitwisselen van informatie over kwetsbaarheden met melders, coördinatoren, leveranciers hoger in de keten of getroffen gebruikers.
Het detailniveau van componentinformatie kan toenemen wanneer het productrisico een snellere of nauwkeurigere analyse van de impact van kwetsbaarheden rechtvaardigt.
Hashes kunnen helpen precies vast te stellen welke versie van een softwarecomponent aanwezig is wanneer namen en versienummers niet volstaan.
Gestructureerde adviezen kunnen klanten en downstream operators helpen informatie over kwetsbaarheden op grote schaal te verwerken.
Afbakening ten opzichte van meldingen
De afhandeling van kwetsbaarheden is een doorlopend productproces. Meldingen op grond van artikel 14 vormen een afzonderlijke kennisgevingsplicht wanneer aan de wettelijke trigger is voldaan. Een kwetsbaarheid kan via het proces worden afgehandeld zonder dat deze op grond van artikel 14 meldingsplichtig is; een meldingsplichtige kwetsbaarheid moet nog steeds via het proces worden verholpen en gecommuniceerd.
- prEN 40000-1-3 beschrijft hoe het proces voor de afhandeling van kwetsbaarheden moet worden georganiseerd.
- Artikel 14 stelt de meldingsvoorwaarden vast voor actief uitgebuite kwetsbaarheden en ernstige incidenten die de productbeveiliging aantasten.
- De ondersteuningsperiode bepaalt hoelang de afhandeling van kwetsbaarheden moet doorgaan.
De trigger van artikel 14 wordt toegelicht in Melding van kwetsbaarheden.