CRA da UE: prEN 40000-1-3, gestão de vulnerabilidades
Sytance · Atualizado
A prEN 40000-1-3 é o projeto de norma horizontal relativo ao tratamento de vulnerabilidades. Apoia a parte II do anexo I ao transformar a receção, verificação, correção, lançamento e atividades posteriores ao lançamento de vulnerabilidades num processo estruturado do fabricante.
Estado do projeto
O texto aqui analisado é um projeto de Norma Europeia submetido a inquérito CEN. Proporciona uma base para planear o tratamento de vulnerabilidades; o próprio projeto não cria uma presunção de conformidade no âmbito do CRA.
A entrada 15 de M/606 solicita normas europeias para o tratamento de vulnerabilidades em produtos com elementos digitais. O prazo de M/606 para essa entrada é 30 de agosto de 2026.
Relação com a parte II do anexo I
A parte II do anexo I diz respeito ao processo do fabricante. Abrange a deteção e documentação de vulnerabilidades, a visibilidade dos componentes, as medidas corretivas, os testes, a divulgação, a distribuição de atualizações e as informações para os utilizadores depois de estar disponível uma atualização de segurança.
A prEN 40000-1-3 foi concebida em torno desse processo. Não determina se é acionada a obrigação de notificação do artigo 14.º. Essa notificação é uma obrigação jurídica distinta para vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança do produto.
Processo de tratamento de vulnerabilidades
O projeto utiliza um modelo de ciclo de vida. O processo começa antes da receção de uma comunicação, porque o fabricante precisa de ter políticas, canais de contacto, informações sobre componentes e mecanismos de atualização preparados.
São preparadas políticas, vias de divulgação, comunicações seguras, identificação do produto, informações sobre componentes, planeamento de testes e distribuição de atualizações.
O fabricante recebe comunicações e monitoriza fontes internas e externas de vulnerabilidades que afetem o produto ou os seus componentes.
O fabricante verifica se a comunicação é válida, se o produto é afetado e qual a gravidade da vulnerabilidade.
O fabricante decide a medida corretiva, desenvolve uma correção ou medida de mitigação e testa-a antes do lançamento.
O fabricante lança a atualização de segurança, publica informações claras, monitoriza a eficácia e melhora o processo.
Elementos constitutivos
O projeto baseia-se em normas de vulnerabilidades existentes. Utiliza conceitos de divulgação de vulnerabilidades, tratamento de vulnerabilidades e divulgação coordenada com várias partes, adaptando-os depois aos produtos com elementos digitais e ao modelo de período de suporte do CRA.
Política de divulgação
Um canal público informa investigadores e utilizadores sobre como comunicar uma potencial vulnerabilidade.
Visibilidade dos componentes
As informações sobre os componentes de software e hardware sustentam a análise do impacto quando é encontrada uma vulnerabilidade.
Lançamento de atualizações
A distribuição segura de atualizações e os avisos claros ajudam os utilizadores a instalar correções e a tomar outras medidas necessárias.
Controlos adicionais baseados nos riscos
O projeto inclui reforços dos requisitos. São medidas adicionais aplicáveis quando a avaliação dos riscos do produto demonstra que é necessário maior rigor.
Os produtos de maior risco podem exigir controlos mais fortes para a troca de informações sobre vulnerabilidades com quem as comunica, coordenadores, fornecedores a montante ou utilizadores afetados.
O nível de detalhe dos componentes pode aumentar quando o risco do produto justifica uma análise do impacto das vulnerabilidades mais rápida ou precisa.
Os resumos criptográficos podem ajudar a identificar exatamente a versão do componente de software presente quando os nomes e as cadeias de versão não são suficientes.
Avisos estruturados podem ajudar os clientes e os operadores a jusante a tratar informações sobre vulnerabilidades em grande escala.
Limite face às notificações
O tratamento de vulnerabilidades é o processo contínuo relativo ao produto. A notificação prevista no artigo 14.º é uma obrigação separada quando se verifica o critério jurídico. Uma vulnerabilidade pode ser tratada no âmbito do processo sem ser notificável ao abrigo do artigo 14.º; uma vulnerabilidade notificável continua a necessitar desse processo para ser corrigida e comunicada.
- A prEN 40000-1-3 descreve a organização do processo de tratamento de vulnerabilidades.
- O artigo 14.º estabelece os critérios de notificação para vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança do produto.
- O período de suporte determina durante quanto tempo o tratamento de vulnerabilidades tem de continuar.
O critério do artigo 14.º é explicado em Notificação de vulnerabilidades.