Requisitos essenciais de cibersegurança do CRA
Sytance · Atualizado
O anexo I estabelece a base do CRA para os produtos com elementos digitais abrangidos. A parte I descreve as propriedades de cibersegurança do próprio produto. A parte II descreve o processo do fabricante para tratar vulnerabilidades durante o período de suporte.
Estrutura do anexo I
O anexo I tem duas partes. A parte I diz respeito ao produto. A parte II diz respeito ao processo do fabricante para tratar vulnerabilidades. O artigo 6.º estabelece a ligação entre ambas: um produto só pode ser colocado no mercado quando cumpre os requisitos aplicáveis da parte I e os processos do fabricante cumprem a parte II.
Parte I: propriedades do produto
Predefinições seguras, proteção dos dados, controlo do acesso, resiliência das funções, capacidade de atualização, monitorização da atividade e remoção segura de dados e definições.
Parte II: tratamento de vulnerabilidades
Processos para identificar, documentar, corrigir, divulgar e comunicar vulnerabilidades no produto e nos seus componentes.
O artigo 13.º exige que o fabricante avalie os riscos de cibersegurança. Essa avaliação determina a forma como os requisitos da parte I se aplicam ao produto.
Parte I: propriedades de cibersegurança do produto
A parte I começa pelo resultado global esperado para o produto e, em seguida, enumera propriedades de segurança que se aplicam com base na avaliação dos riscos de cibersegurança e quando forem aplicáveis. A lista é abrangente porque o CRA cobre muitos tipos de software, hardware, componentes e tratamento de dados à distância que suportam funções do produto.
Os produtos com elementos digitais devem ser concebidos, desenvolvidos e produzidos de forma a garantir um nível adequado de cibersegurança com base nos riscos.
Regulamento (UE) 2024/2847, anexo I, parte I, ponto 1
Uma aplicação de consumo, uma VPN industrial e um componente de hardware reutilizável podem enfrentar riscos diferentes, mesmo quando o requisito está redigido nos mesmos termos. A avaliação dos riscos explica a aplicação dos requisitos da parte I ao produto e por que motivo um requisito não é aplicável, se essa for a conclusão do fabricante.
A parte I pergunta sobretudo se o produto consegue:
- Chegar ao mercado sem vulnerabilidades conhecidas suscetíveis de exploração e com uma configuração predefinida segura;
- Tratar as vulnerabilidades através de atualizações de segurança, incluindo atualizações automáticas quando forem adequadas ao produto;
- Proteger o acesso, a confidencialidade, a integridade, a disponibilidade, os comandos, os programas, a configuração e os dados tratados;
- Limitar as superfícies de ataque e reduzir o impacto de um incidente;
- Registar e monitorizar atividades de segurança relevantes, disponibilizando ao utilizador um mecanismo para recusar essa monitorização;
- Permitir que os utilizadores removam dados e definições com segurança e, se a transferência for suportada, transfiram os dados com segurança.
Estas são propriedades do produto, não um padrão de implementação fixo. O mesmo requisito pode conduzir a escolhas técnicas diferentes para um dispositivo de consumo, um produto de rede profissional, um SDK ou firmware destinado a ser integrado noutros produtos.
Parte II: tratamento de vulnerabilidades
A parte II diz respeito ao processo do fabricante. Aplica-se quando o produto é colocado no mercado e durante o período de suporte. Abrange também vulnerabilidades em componentes incorporados no produto, pelo que a visibilidade dos componentes e a comunicação com os fornecedores a montante são importantes.
O fabricante tem de identificar e documentar vulnerabilidades e componentes. O anexo I exige expressamente uma lista de materiais de software num formato legível por máquina e utilizado habitualmente, que abranja, pelo menos, as dependências de nível superior.
As vulnerabilidades têm de ser tratadas e corrigidas sem demora, tendo em conta os riscos que representam para o produto. Sempre que tecnicamente viável, as atualizações de segurança devem ser separadas das atualizações de funcionalidades.
A parte II exige uma política de divulgação coordenada de vulnerabilidades e um endereço de contacto para a sua comunicação. O artigo 13.º também exige que os fabricantes informem a pessoa ou entidade responsável pela manutenção de um componente integrado quando identificarem uma vulnerabilidade nesse componente.
Os mecanismos de atualização têm de distribuir correções de forma segura e atempada. Quando estiverem disponíveis atualizações de segurança, estas têm de ser divulgadas sem demora, normalmente sem custos, e acompanhadas de informações que ajudem os utilizadores a agir.
Normas e evidências
As normas harmonizadas só podem sustentar uma presunção de conformidade quando a referência pertinente for publicada no Jornal Oficial da União Europeia. Os projetos, mapeamentos e normas setoriais podem continuar a ser evidências úteis, mas não substituem a avaliação dos riscos específica do produto exigida pelo artigo 13.º.
O pedido de normalização M/606 da Comissão relativo ao CRA solicita às organizações europeias de normalização normas horizontais e verticais. As perguntas frequentes sobre a aplicação descrevem entregáveis horizontais para o quadro de produtos baseado nos riscos, as propriedades dos produtos da parte I e o tratamento de vulnerabilidades da parte II, além de normas verticais para categorias de produtos importantes e críticos.
A documentação técnica deve explicar de que forma as normas selecionadas ou outras medidas técnicas tratam os riscos identificados para o produto. Deve depois indicar quais as propriedades do produto e processos de tratamento de vulnerabilidades que implementam essas medidas.
Consulte Materiais públicos da prEN 40000-1-4 para consultar o material público atual sobre a futura norma de requisitos genéricos de segurança, e prEN 40000-1-3 Vulnerability Handling para consultar o projeto atual sobre o tratamento de vulnerabilidades.