Avaliação dos riscos de cibersegurança do CRA

Função da avaliação dos riscos

Para efeitos do cumprimento do n.º 1, os fabricantes devem avaliar os riscos de cibersegurança associados a um produto com elementos digitais e ter em conta o resultado dessa avaliação durante as fases de planeamento, conceção, desenvolvimento, produção, entrega e manutenção do produto com elementos digitais, a fim de minimizar os riscos de cibersegurança, prevenir incidentes e minimizar o seu impacto, nomeadamente no que diz respeito à saúde e segurança dos utilizadores.

Regulamento (UE) 2024/2847, artigo 13.º, n.º 2

O artigo 13.º exige que a avaliação dos riscos acompanhe o ciclo de vida do produto e seja atualizada, conforme adequado, durante o período de suporte.

O que a avaliação explica

Nos termos do artigo 13.º, n.º 3, a avaliação tem de considerar a finalidade prevista, a utilização razoavelmente previsível, as condições de utilização, o ambiente operacional, os ativos a proteger e o período de utilização previsto.

• Quais os requisitos da parte I do anexo I aplicáveis ao produto;
• De que forma são implementados esses requisitos aplicáveis ao produto;
• De que forma é aplicado o requisito geral de cibersegurança baseado no risco previsto no ponto 1 da parte I do anexo I;
• De que forma são aplicados os requisitos relativos ao tratamento de vulnerabilidades da parte II do anexo I;
• Por que motivo um requisito não é aplicável, quando essa é a conclusão do fabricante.

Exemplo: avaliação de um percurso de atualização de firmware

Considere-se um controlador conectado fictício que recebe firmware de um serviço de atualização. Um atacante pode tentar substituir a imagem antes da instalação. A avaliação tem de determinar se isso é possível e o que o firmware alterado poderia fazer.

1. Determine o percurso de atualização do modelo de controlador e da versão de firmware. Identifique quem pode fornecer uma imagem, como esta chega ao dispositivo e que verificações ocorrem antes da instalação.
2. Descreva a ameaça: um atacante substitui uma imagem de firmware antes da instalação. O ativo é a integridade do código executável; a consequência depende das funções que o controlador pode alterar.
3. Avalie os controlos existentes: determine onde a imagem é verificada, que chaves de assinatura são consideradas fidedignas e o que acontece após uma falha de verificação. Uma declaração de conceção, por si só, não demonstra o comportamento da versão disponibilizada.
4. Associe as medidas à verificação: conserve a conceção de atualização aprovada e os testes relativos a imagens alteradas, assinaturas incorretas e recuperação após falhas. Registe a versão de firmware e a configuração testadas.
5. Explique o risco remanescente com base nas condições de ataque e nas consequências previstas. Identifique todos os pressupostos ainda por confirmar e as medidas adicionais necessárias. Reveja a conclusão quando o mecanismo de atualização ou a ameaça mudar.

Um diagrama de fluxo de dados (DFD) e o STRIDE podem ajudar a identificar percursos de ataque para esta análise. A decisão sobre o risco continua a exigir factos sobre o produto e resultados de verificação. Por exemplo, antes de considerar que a verificação da assinatura reduz o risco, a equipa deve confirmá-la face à conceção e ao firmware testado.

Ligação à documentação técnica

O artigo 13.º, n.º 4, integra a avaliação dos riscos de cibersegurança na documentação técnica. O anexo VII exige, por sua vez, que essa documentação inclua uma avaliação dos riscos de cibersegurança contra os quais o produto é concebido, desenvolvido, produzido, entregue e mantido.

Apoio por normas

A página prEN 40000-1-2 explica o documento horizontal de princípios sobre gestão dos riscos de ciber-resiliência atualmente em preparação. Pode ajudar a estruturar o trabalho, mas a obrigação jurídica continua a decorrer do artigo 13.º e do anexo I.