CRA 網絡安全風險評估
Sytance · 更新於
CRA 網絡安全風險評估説明產品面臨哪些風險、適用哪些安全要求，以及如何通過設計和持續維護降低風險。評估應基於預期用途、合理可預見的使用、運行環境和需要保護的資產，並納入技術文檔。
風險評估的作用
為遵守第 1 款，製造商應評估與含數字要素產品有關的網絡安全風險，並在該產品的規劃、設計、開發、生產、交付和維護階段考慮評估結果，以儘可能降低網絡安全風險、防止事件發生並儘可能減輕事件影響，包括對用戶健康和安全的影響。
英文原文：
For the purpose of complying with paragraph 1, manufacturers shall undertake an assessment of the cybersecurity risks associated with a product with digital elements and take the outcome of that assessment into account during the planning, design, development, production, delivery and maintenance phases of the product with digital elements with a view to minimising cybersecurity risks, preventing incidents and minimising their impact, including in relation to the health and safety of users.歐盟條例 (EU) 2024/2847, 第 13 條第 2 款（中文為非官方譯文；英文為原文）
第 13 條要求風險評估貫穿產品生命週期，並在支持期內按需要更新。產品設計或相關風險發生變化後，原有結論也需要複核。
風險評估需要説明什麼
按照第 13 條第 3 款，評估必須考慮預期用途、合理可預見的使用、使用條件、運行環境、需要保護的資產，以及預期使用時間。
- 哪些附件 I 第一部分要求適用於該產品；
- 產品如何實現這些要求；
- 如何根據產品風險滿足附件 I 第一部分第 (1) 項的一般網絡安全要求；
- 附件 I 第二部分的漏洞處理要求如何適用；
- 如果製造商認為某項要求不適用，理由是什麼。
示例：評估固件更新路徑
以一款從更新服務接收固件的虛構聯網控制器為例。攻擊者可能嘗試在安裝前替換固件映像。評估需要確認這種攻擊能否成立，以及被修改的固件能夠執行哪些操作。
- 明確該控制器型號與固件版本的更新路徑：誰可以提供映像、映像如何到達控制器，以及安裝前會進行哪些檢查。
- 描述威脅：攻擊者在安裝前替換固件映像，破壞可執行代碼的完整性。評估後果時，需要分析被篡改的代碼能改變控制器的哪些功能。
- 分析現有控制：確認固件在何處驗證、信任哪些簽名密鑰，以及驗證失敗後的行為。僅有設計説明，不能證明發布版本確實如此運行。
- 驗證安全措施：保留已確認的更新設計，以及針對篡改映像、錯誤簽名和失敗恢復的測試記錄，並註明被測固件版本與配置。
- 根據攻擊條件和預期後果，説明採取措施後還存在哪些風險。列明尚待確認的假設和需要補充的措施。更新機制或威脅變化時，複核原有結論。
數據流圖（DFD）和 STRIDE 可以幫助識別攻擊路徑。風險判斷仍需依據產品的實際情況和驗證結果。例如，將簽名校驗作為降低風險的措施前，應與設計資料和被測固件的行為核對。
與技術文檔的關係
第 13 條第 4 款要求將網絡安全風險評估納入技術文檔。附件 VII 進一步要求評估説明，產品在設計、開發、生產、交付和維護中需要應對哪些網絡安全風險。
分析範圍
説明評估涉及的產品版本、運行條件，以及攻擊可能影響哪些功能或資產。
安全措施
説明哪些措施用於處理相應風險，以及如何檢查措施是否有效。
生命週期更新
產品變更、新漏洞、新證據和支持期變化可能觸發重新評估。
證據文件
評估結論納入技術文檔，作為合格評定的依據。
標準的作用
草案 prEN 40000-1-2 的專題頁介紹了適用於不同產品類別的網絡彈性風險管理原則。該草案可用於安排評估工作，法律義務仍以第 13 條和附件 I 為準。