CRA 漏洞處理記錄

漏洞處理義務

製造商應確保，含數字要素產品投放市場時以及整個支持期內，該產品及其組件的漏洞按照附件 I 第二部分規定的基本網絡安全要求得到有效處理。

英文原文：
Manufacturers shall ensure, when placing a product with digital elements on the market, and for the support period, that vulnerabilities of that product, including its components, are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I.

歐盟條例 (EU) 2024/2847, 第 13 條第 8 款（中文為非官方譯文；英文為原文）

製造商從產品投放市場起，就需要持續處理產品及其組件的漏洞，直至支持期結束。

主要記錄類型

示例：處理一項組件漏洞告警

假設控制器固件使用的解析器發現一項漏洞，團隊可以按以下六個環節記錄處置過程。該示例説明如何保留接收、影響分析和修復記錄，供實施時參考。

1. 接收：記錄收到報告的時間、來源、組件與漏洞標識，以及當時掌握的信息，保留原始報告。
2. 產品影響：利用 SBOM 和構建記錄識別候選版本，確認攻擊者能否在各受支持配置中訪問受影響的解析器，並記錄證據和尚待查明的問題。
3. 報告判斷：如有正在被積極利用的證據或嚴重產品安全事件，立即評估第 14 條；記錄知悉時間，在適用期限內提交所需報告，同時繼續技術調查。
4. 處置：評估產品風險，分配修復或緩解工作，並在相關情況下與組件維護者協調；保留所選措施及理由。
5. 驗證與發佈：測試修正後的解析器及受影響的產品功能，保留被測構建，並關聯安全更新、分發證據和用戶説明。
6. 關閉與跟蹤：記錄經過驗證的結果、更新後的組件清單、用戶溝通和披露信息。對於仍在支持期內的受影響版本，如果尚無有效處置措施，應繼續跟蹤。

處置記錄應分別説明內部修復是否完成、監管報告是否提交，以及用戶是否獲得或安裝更新。這些狀態可能不同：例如修復已發佈，但部分受影響用戶尚未安裝，仍需要跟蹤。

與附件 VII 的關係

附件 VII 要求技術文檔包含漏洞處理流程所需信息和規範，包括 SBOM、協調漏洞披露政策、報告聯繫地址和安全更新分發。

• 反映產品歷次漏洞及其處理情況的記錄；
• 説明漏洞如何初步評估、確定優先級和修復的記錄；
• 顯示更新分發和用戶溝通的記錄；
• 支撐合格評定的測試和評審報告。

草案 prEN 40000-1-3 的專題頁詳細介紹了該漏洞處理標準草案。