Unijny CRA: prEN 40000-1-3, obsługa podatności
Sytance · Zaktualizowano
prEN 40000-1-3 to projekt normy horyzontalnej dotyczącej obsługi podatności. Wspiera część II załącznika I, porządkując przyjmowanie zgłoszeń, weryfikację, usuwanie podatności, wydawanie poprawek i działania po wydaniu produktu w ramach ustrukturyzowanego procesu producenta.
Status projektu
Omawiany tekst to projekt Normy Europejskiej przekazany do ankiety CEN. Stanowi podstawę planowania obsługi podatności; sam projekt nie ustanawia domniemania zgodności z CRA.
Pozycja 15 w M/606 wymaga europejskich norm dotyczących obsługi podatności w produktach z elementami cyfrowymi. Termin dla tej pozycji z M/606 upływa 30 sierpnia 2026 r.
Relacja z częścią II załącznika I
Część II załącznika I dotyczy procesu producenta. Obejmuje wykrywanie i dokumentowanie podatności, wiedzę o komponentach, usuwanie podatności, testowanie, ujawnianie, dystrybucję aktualizacji oraz informacje przekazywane użytkownikom po udostępnieniu aktualizacji zabezpieczeń.
prEN 40000-1-3 opracowano z myślą o tym procesie. Norma nie rozstrzyga, czy uruchamia się obowiązek zgłaszania określony w art. 14. Zgłaszanie na podstawie art. 14 to odrębny obowiązek prawny dotyczący aktywnie wykorzystywanych podatności i poważnych incydentów wpływających na bezpieczeństwo produktu.
Proces obsługi podatności
Projekt wykorzystuje model cyklu życia. Proces rozpoczyna się przed otrzymaniem zgłoszenia, ponieważ producent musi wcześniej ustanowić polityki, kanały kontaktowe, informacje o komponentach i mechanizmy aktualizacji.
Przygotowuje się polityki, kanały ujawniania, bezpieczną komunikację, identyfikację produktu, informacje o komponentach, plan testów i dystrybucję aktualizacji.
Producent przyjmuje zgłoszenia i monitoruje wewnętrzne oraz zewnętrzne źródła informacji o podatnościach wpływających na produkt lub jego komponenty.
Producent sprawdza, czy zgłoszenie jest prawidłowe, czy problem dotyczy produktu i jak poważna jest podatność.
Producent decyduje o sposobie usunięcia podatności, opracowuje poprawkę lub środek ograniczający skutki i testuje go przed wydaniem.
Producent wydaje aktualizację zabezpieczeń, publikuje jasne informacje, monitoruje jej skuteczność i doskonali proces.
Elementy składowe
Projekt opiera się na istniejących normach dotyczących podatności. Wykorzystuje pojęcia ujawniania podatności, obsługi podatności i wielostronnego skoordynowanego ujawniania, a następnie dostosowuje je do produktów z elementami cyfrowymi i okresu wsparcia CRA.
Polityka ujawniania
Publiczny kanał wyjaśnia badaczom i użytkownikom, jak zgłaszać potencjalne podatności.
Wiedza o komponentach
Informacje o komponentach oprogramowania i sprzętu wspierają analizę wpływu po wykryciu podatności.
Wydanie aktualizacji
Bezpieczna dystrybucja aktualizacji i jasne komunikaty pomagają użytkownikom instalować poprawki i podejmować inne niezbędne działania.
Dodatkowe środki wynikające z ryzyka
Projekt zawiera wymagania rozszerzone. Są to dodatkowe środki mające zastosowanie, gdy ocena ryzyka produktu wskazuje na potrzebę większej rygorystyczności.
Produkty o wyższym ryzyku mogą wymagać silniejszych zabezpieczeń wymiany informacji o podatnościach z osobami zgłaszającymi, koordynatorami, dostawcami na wcześniejszych etapach łańcucha dostaw lub użytkownikami, których problem dotyczy.
Poziom szczegółowości informacji o komponentach może być większy, gdy ryzyko produktu uzasadnia szybszą lub dokładniejszą analizę wpływu podatności.
Skróty mogą pomóc dokładnie ustalić wersję komponentu oprogramowania, jeśli nazwa i ciąg wersji nie wystarczają.
Ustrukturyzowane komunikaty mogą pomóc klientom i operatorom dalszych ogniw przetwarzać informacje o podatnościach na dużą skalę.
Rozdzielenie od obowiązku zgłaszania
Obsługa podatności to ciągły proces dotyczący produktu. Zgłaszanie na podstawie art. 14 jest odrębnym obowiązkiem powiadomienia uruchamianym po spełnieniu przesłanek prawnych. Podatność może być obsługiwana w ramach procesu, choć nie podlega zgłoszeniu na podstawie art. 14; podatność podlegająca zgłoszeniu nadal wymaga obsługi w celu jej usunięcia i przekazania informacji.
- prEN 40000-1-3 opisuje organizację procesu obsługi podatności.
- Artykuł 14 określa warunki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów wpływających na bezpieczeństwo produktu.
- Okres wsparcia określa, jak długo należy kontynuować obsługę podatności.
Przesłankę z art. 14 wyjaśniono w Zgłaszanie podatności.