歐盟《網絡韌性法案》（CRA）

CRA 風險評估與技術文件

CRA 技術文件需要說明產品有哪些網絡安全風險，以及製造商如何處理這些風險。Sytance 用於維護產品架構、風險評估、SBOM 和驗證記錄，再根據團隊已審閱的產品資料編制文件。

CRA 合規準備中的主要工作

明確預期用途、運作環境、介面和產品邊界，為安全分析確定範圍。

對照產品架構分析威脅，記錄相關風險、選定措施和判斷理由。

將測試結果等證據關聯到對應的安全要求和措施，區分計劃中的活動與已經完成的測試。

基於已收集的記錄生成文件，再核對引用、覆蓋範圍和需要補充的資料。

產品描述

預期用途、介面與架構

風險評估

威脅、後果與選定措施

軟件元件

SBOM 與漏洞記錄

技術文件

分析結果、引用與測試證據

例如，風險評估識別出軟件更新包被篡改的攻擊場景，設計規定採用簽名校驗，測試則檢查產品能否拒絕被修改的更新包。Sytance 將這些記錄關聯起來，便於審閱人員核對分析過程。

平台維護產品資訊、威脅、風險、元件及支援資料，並據此編制技術文件。團隊負責確認法規適用性、補充缺失資訊，並批准用於符合性評估的內容。

先提供產品描述、預期用途、架構和外部介面。更新流程、元件清單、已有風險評估與測試報告，有助於確定哪些工作已完成、哪些內容還需檢查。

不會。漏洞、軟件變更和新的運作條件都可能影響已有結論。還需要持續維護相關產品記錄和技術文件，並建立適用於該產品的漏洞處理及報告安排。