CRA 差距分析
Sytance · 更新於
CRA 差距分析把當前產品及製造商流程與適用要求進行比較，找出需要整改或補充證據的事項。它是一種實施方法，法規並未單獨規定名為“差距分析”的義務。
差距分析的法規依據
以該產品適用的 CRA 要求為比對依據。第 6 條和第 13 條規定產品及風險評估義務，各附件規定安全要求和需要提供的信息。評估採用了標準或技術規範時，也應納入比對。
- 第 6 條和附件 I 規定產品要求和漏洞處理要求。
- 第 13 條要求進行網絡安全風險評估，並説明確定支持期的依據。
- 附件 II 列出用戶信息和説明。
- 附件 VII 列出技術文檔內容。
- 第 32 條規定不同產品類別可採用的合格評定途徑。
- 協調標準或其他技術規範可以幫助説明要求如何滿足，但其法律效果取決於發佈及引用狀態。
差距的含義
差距可能出現在產品、製造商流程或支持結論的證據中。例如，更新機制可能尚未實現簽名校驗；也可能已經實現，但缺少測試結果證明它能拒絕被修改的包。兩種發現需要採取不同措施。
要求差距
產品或流程尚未滿足一項適用要求。
證據差距
產品可能已有措施，但技術文檔沒有清楚説明。
分析差距
缺少風險評估或要求適用性的判斷依據，或分析過於籠統，未反映該產品的實際情況。
評定依據不足
選用了某項標準、認證或評定路徑，卻未確認其法律狀態或是否適用於該產品類別。
示例：驗證並解決安全更新問題
一款虛構控制器已設計簽名固件更新，但團隊尚未測試設備是否拒絕由不可信密鑰簽名的映像。最初發現的是證據差距；如果測試表明設備會接受該映像，還需要記錄實現差距。
- 判斷依據：關聯適用的附件 I 要求、風險評估和安全更新設計，註明產品版本及配置。
- 差距描述：寫清缺失的測試或實際觀察到的行為，分別標明未經測試的假設與已經驗證的故障。
- 整改安排：由固件團隊完成必要修改，由驗證團隊測試受影響的更新路徑；結合產品發佈決策確定完成時間。
- 整改證據：關聯修訂後的設計或變更記錄、相應構建版本的測試結果，以及更新後的風險評估。引用已有測試結果時，説明其仍適用於當前版本的理由。
- 複核：由負責人員對照原始差距檢查新證據。任務完成或報告上傳本身，並不能説明差距已經解決。
每項差距應註明對應要求並解釋缺少什麼，再確定責任人、整改措施和驗收條件。評審結論與支持證據一併保留。
完成比例只能反映檢查表條目的完成情況，不能説明剩餘差距的嚴重程度或證明符合性。一個尚未解決的更新認證問題，可能比多項已經完成的文檔工作更影響產品安全。
差距分析的輸入
開展差距分析前，需要明確產品邊界、分類和合格評定路徑。否則，檢查表可能遺漏適用要求，也可能把不適用的要求列成整改事項。
風險評估是判斷附件 I 中哪些產品要求適用的主要依據。分析結論及支持證據應匯入技術文檔。詳見 網絡安全風險評估 和 技術文檔。