CRA 漏洞处理记录

漏洞处理义务

制造商应确保，含数字要素产品投放市场时以及整个支持期内，该产品及其组件的漏洞按照附件 I 第二部分规定的基本网络安全要求得到有效处理。

英文原文：
Manufacturers shall ensure, when placing a product with digital elements on the market, and for the support period, that vulnerabilities of that product, including its components, are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I.

欧盟条例 (EU) 2024/2847, 第 13 条第 8 款（中文为非官方译文；英文为原文）

制造商从产品投放市场起，就需要持续处理产品及其组件的漏洞，直至支持期结束。

主要记录类型

示例：处理一项组件漏洞告警

假设控制器固件使用的解析器发现一项漏洞，团队可以按以下六个环节记录处置过程。该示例说明如何保留接收、影响分析和修复记录，供实施时参考。

1. 接收：记录收到报告的时间、来源、组件与漏洞标识，以及当时掌握的信息，保留原始报告。
2. 产品影响：利用 SBOM 和构建记录识别候选版本，确认攻击者能否在各受支持配置中访问受影响的解析器，并记录证据和尚待查明的问题。
3. 报告判断：如有正在被积极利用的证据或严重产品安全事件，立即评估第 14 条；记录知悉时间，在适用期限内提交所需报告，同时继续技术调查。
4. 处置：评估产品风险，分配修复或缓解工作，并在相关情况下与组件维护者协调；保留所选措施及理由。
5. 验证与发布：测试修正后的解析器及受影响的产品功能，保留被测构建，并关联安全更新、分发证据和用户说明。
6. 关闭与跟踪：记录经过验证的结果、更新后的组件清单、用户沟通和披露信息。对于仍在支持期内的受影响版本，如果尚无有效处置措施，应继续跟踪。

处置记录应分别说明内部修复是否完成、监管报告是否提交，以及用户是否获得或安装更新。这些状态可能不同：例如修复已发布，但部分受影响用户尚未安装，仍需要跟踪。

与附件 VII 的关系

附件 VII 要求技术文档包含漏洞处理流程所需信息和规范，包括 SBOM、协调漏洞披露政策、报告联系地址和安全更新分发。

• 反映产品历次漏洞及其处理情况的记录；
• 说明漏洞如何初步评估、确定优先级和修复的记录；
• 显示更新分发和用户沟通的记录；
• 支撑合格评定的测试和评审报告。

草案 prEN 40000-1-3 的专题页详细介绍了该漏洞处理标准草案。