Regulamento de Ciber-Resiliência da UE
Avaliação de riscos e documentação técnica para o CRA
A documentação técnica exigida pelo CRA tem de explicar os riscos de cibersegurança do produto e a forma como o fabricante os trata. Use a Sytance para manter a arquitetura, a avaliação de riscos, a SBOM e os registos de verificação; depois, prepare os documentos com base na informação sobre o produto revista pela sua equipa.
O trabalho necessário para preparar o CRA
Descrição do produto
Defina a utilização prevista, o ambiente de funcionamento, as interfaces e os limites do produto. Estes factos determinam o âmbito da análise de segurança.
Avaliação de riscos
Avalie as ameaças tendo em conta a arquitetura do produto. Registe os riscos relevantes, as medidas escolhidas e os motivos de cada decisão.
Registos de verificação
Associe os resultados dos testes e outras evidências aos requisitos e às medidas que verificam. Mantenha as atividades planeadas separadas dos testes concluídos.
Documentação técnica
Gere os documentos a partir dos registos recolhidos e, em seguida, reveja as referências, a cobertura e a informação ainda em falta.
Descrição do produto
Utilização prevista, interfaces e arquitetura
Avaliação de riscos
Ameaças, consequências e medidas escolhidas
Componentes de software
SBOM e registos de vulnerabilidades
Documentação técnica
Análise, referências e evidências de teste
Justifique cada requisito de segurança
Numa atualização de software, a avaliação de riscos pode identificar como cenário de ataque a adulteração de um pacote. A conceção especifica a verificação da assinatura e o teste confirma se o produto rejeita um pacote modificado. A Sytance associa estes registos para que quem os revê consiga acompanhar a análise.
Como contribui a Sytance para a preparação para o CRA?
A plataforma mantém a informação sobre o produto, as ameaças, os riscos, os componentes e os registos de suporte. Também prepara documentação técnica com base nesses registos. A sua equipa confirma a aplicabilidade, resolve as lacunas e aprova o conteúdo usado na avaliação da conformidade.
Que informação devemos preparar?
Reúna a descrição do produto, a utilização prevista, a arquitetura e as interfaces externas. O processo de atualização, o inventário de componentes, a avaliação de riscos existente e os relatórios de teste ajudam a perceber o que já foi analisado e o que ainda precisa de ser verificado.
A preparação para o CRA termina quando a documentação técnica está redigida?
Não. As vulnerabilidades, as alterações de software e as novas condições de funcionamento podem afetar conclusões anteriores. Mantenha atualizados os registos relevantes do produto e a documentação técnica e estabeleça os procedimentos de tratamento e comunicação de vulnerabilidades aplicáveis ao produto.
