Análise de lacunas do CRA

Base jurídica da comparação

Utilize como base da comparação os requisitos do CRA aplicáveis ao produto. Os artigos 6.º e 13.º estabelecem as obrigações relativas ao produto e à avaliação dos riscos; os anexos especificam os requisitos de segurança e as informações a fornecer. Inclua quaisquer normas ou especificações técnicas utilizadas na avaliação.

• O artigo 6.º e o anexo I determinam os requisitos aplicáveis ao produto e ao tratamento de vulnerabilidades.
• O artigo 13.º exige a avaliação dos riscos de cibersegurança e a fundamentação do período de suporte.
• O anexo II enumera as informações e instruções para os utilizadores.
• O anexo VII enumera o conteúdo da documentação técnica.
• O artigo 32.º determina a via de avaliação da conformidade após a classificação.
• As normas harmonizadas ou outras especificações técnicas podem ajudar a demonstrar o cumprimento dos requisitos, mas o seu efeito jurídico depende do respetivo estatuto.

O que significa uma lacuna

Uma lacuna pode dizer respeito ao produto, ao processo do fabricante ou às evidências que sustentam uma conclusão. Por exemplo, um mecanismo de atualização pode não verificar assinaturas ou o mecanismo pode existir, mas não haver resultados de testes que demonstrem que rejeita um pacote modificado. Estas constatações exigem ações diferentes.

Exemplo: fechar uma lacuna nas atualizações seguras

Um controlador fictício já dispõe de atualizações de firmware assinadas, mas a equipa ainda não testou se o dispositivo rejeita uma imagem assinada com uma chave não fidedigna. A lacuna começa por ser de evidências em falta. Se os testes mostrarem que o dispositivo aceita a imagem, passa também a ser uma lacuna de implementação.

1. Base: associe o requisito aplicável do anexo I, a avaliação dos riscos e a conceção das atualizações seguras. Indique a versão e a configuração exatas do produto.
2. Constatação: descreva o teste em falta ou o comportamento observado. Distinga um pressuposto ainda não testado de uma falha demonstrada.
3. Ação: atribua à equipa de firmware a implementação das alterações necessárias e à equipa de verificação o teste dos percursos de atualização afetados. Defina uma data de conclusão adequada à decisão de lançamento do produto.
4. Evidências de encerramento: anexe a conceção revista ou a referência da alteração, os resultados dos testes da compilação relevante e a avaliação dos riscos atualizada. Inclua a justificação caso um resultado de teste existente continue a ser válido.
5. Revisão: o responsável pela revisão compara a lacuna original com as novas evidências. Uma tarefa concluída ou um relatório carregado, por si só, não demonstra que a lacuna foi resolvida.

Para cada lacuna, identifique o requisito e explique o que falta. Atribua o trabalho e defina o resultado de que um revisor necessita para aceitar a correção. Registe a revisão e as evidências de suporte.

Uma percentagem de conclusão mede os elementos dessa lista de verificação. Não revela a gravidade das lacunas que continuam em aberto nem demonstra a conformidade. Uma falha não resolvida na autenticação de atualizações pode ser mais importante do que várias tarefas de documentação concluídas.

Elementos de entrada da análise de lacunas

A análise de lacunas necessita de um âmbito de produto definido e de uma classificação e via de avaliação da conformidade fundamentadas. Caso contrário, poderá comparar o produto com requisitos que não lhe são aplicáveis ou deixar de considerar requisitos aplicáveis.

A avaliação dos riscos é o principal elemento de entrada para determinar quais os requisitos relativos aos produtos do anexo I aplicáveis. A documentação técnica é o local onde se reúnem o resultado e as evidências. Consulte Avaliação dos riscos de cibersegurança e Documentação técnica.