Maturitate Cyber Resilience Act · Regulamentul (UE) 2024/2847 privind ciberrezilienta produselor digitale
Cerințele CRA traduse în niveluri de maturitate, decalaje documentate și un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate Cyber Resilience Act · Regulamentul (UE) 2024/2847 privind ciberrezilienta produselor digitale
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Regulamentul (UE) 2024/2847 (Cyber Resilience Act) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care le leagă) transformă un constat într-o traiectorie.
Dispuneți de o nomenclatură software (SBOM) actualizată pentru produsele pe care le introduceți pe piață?
- N1
Nu există nicio nomenclatură software. Componentele terțe ale unui produs sunt cunoscute doar de dezvoltatorii care le-au integrat.
- N2
Există liste de componente pentru anumite produse, constituite manual, fără format comun și fără actualizare la fiecare livrare.
- N3
Un SBOM este generat într-un format standard pentru produsele din perimetru, actualizat la fiecare versiune publicată și păstrat împreună cu documentația tehnică.
- N4
SBOM este produs automat de lanțul de build, corelat cu buletinele de vulnerabilități, și declanșează o revizuire atunci când o componentă este afectată.
- N5
SBOM acoperă dependențele tranzitive și componentele furnizorilor, cu o urmărire documentată a decalajelor și o revizuire periodică a regulilor de acceptare a componentelor.
Acțiune pentru trecerea de la N2 la N3
Alegerea unui format standard de SBOM, integrarea sa în definiția livrabilului fiecărei versiuni publicate și verificarea prezenței sale la revizuirea de release, atașându-l la dosarul tehnic al produsului.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe null.
Despre ce vorbește acest cadru de referință
Cyber Resilience Act, Regulamentul (UE) 2024/2847, se aplică produselor cu elemente digitale, hardware sau software, puse la dispoziție pe piața Uniunii. Acesta stabilește cerințe esențiale de securitate cibernetică pentru proiectare, dezvoltare și producție, precum și obligații de tratare a vulnerabilităților pe toată perioada de suport. Impune o evaluare a conformității, o documentație tehnică, o declarație UE de conformitate și marcajul CE. De asemenea, creează obligații de notificare către ENISA pentru vulnerabilitățile exploatate activ și incidentele grave.
Dificultatea nu constă în citirea textului, ci în a ști cine face ce. CRA angajează cercetarea și dezvoltarea, securitatea produsului, calitatea, juridicul și suportul, adesea în organizații unde securitatea cibernetică a fost gândită pentru sistemul informatic și nu pentru produsul vândut. Cunoașteți perimetrul exact al produselor dumneavoastră vizate și clasificarea lor? Știți să produceți o nomenclatură software actualizată pentru fiecare dintre ele? Cine se angajează astăzi asupra perioadei de suport și asupra distribuirii corecțiilor de securitate?
O confuzie revine frecvent: CRA nu este o derivare a NIS 2. NIS 2 vizează securitatea entităților și a sistemelor acestora, CRA vizează produsele pe care o întreprindere le introduce pe piață. Același grup poate fi vizat de ambele, cu responsabili și dovezi diferite. Un alt punct de atenție: regulamentul se aplică conform unui calendar eșalonat, obligațiile de notificare intervenind înaintea obligațiilor generale. Tratarea subiectului ca un simplu dosar de marcaj CE duce la descoperirea tardivă a șantierelor de fond, în special gestionarea coordonată a vulnerabilităților.
Un audit de conformitate se încheie cu un decalaj sau o conformitate, produs cu produs. Diagnosticul de maturitate răspunde la o altă întrebare: la ce nivel de control se situează practicile dumneavoastră de securitate a produsului și ce acțiune precisă permite trecerea la nivelul superior. Acest lucru permite pilotarea unui program de transformare pe mai multe game și mai multe echipe de dezvoltare, cu o traiectorie lizibilă în comitetul de direcție, nu o listă de cerințe de bifat.
În Datamensio, cadrul de referință este gata de utilizare și îl puteți adapta. IA ajustează domeniile tematice, întrebările și nivelurile la portofoliul dumneavoastră de produse, sau construiește o adaptare pornind de la procedurile dumneavoastră de dezvoltare și de la dosarele tehnice existente. Apoi recitește răspunsurile, semnalează decalajele care se regăsesc de la o gamă la alta și redactează prezentarea rezultatelor, în timp ce decizia rămâne a dumneavoastră: fiecare acțiune propusă se păstrează, se înlătură sau se rescrie înainte de a intra în foaia de parcurs.
Standard de referință: Regulamentul (UE) 2024/2847 (Cyber Resilience Act)
Domeniile tematice evaluate
Perimetru și clasificare a produselor
Inventarul produselor cu elemente digitale, rolul asumat (producător, importator, distribuitor), clasificarea conform categoriilor regulamentului, identificarea produselor critice.
Cerințe esențiale de securitate by design
Securitate luată în considerare încă din proiectare, configurare securizată implicit, reducerea suprafeței de atac, protecția datelor și a comunicațiilor, controlul accesului, jurnalizare.
Analiza riscului produsului
Evaluarea riscurilor de securitate cibernetică pe produs, documentarea analizei, actualizare la evoluțiile funcționale, luarea în considerare a utilizărilor așteptate și a utilizărilor greșite previzibile.
Nomenclatură software și lanț de aprovizionare
Producerea și actualizarea SBOM, identificarea componentelor terțe și open source, evaluarea furnizorilor, trasabilitatea dependențelor și a versiunilor livrate.
Gestionarea vulnerabilităților și divulgare coordonată
Punct de contact pentru semnalare, politică de divulgare coordonată, termene de tratare, teste și revizii de securitate, urmărirea vulnerabilităților necorectate.
Actualizări de securitate și perioadă de suport
Determinarea și publicarea perioadei de suport, difuzarea corecțiilor, separarea corecțiilor de securitate de evoluțiile funcționale, gestionarea sfârșitului suportului.
Notificarea vulnerabilităților exploatate și a incidentelor
Detectare și calificare, proceduri de alertă către ENISA și autoritățile naționale, respectarea termenelor, informarea utilizatorilor, trasabilitatea notificărilor.
Evaluarea conformității și documentația tehnică
Alegerea procedurii de evaluare, dosar tehnic, declarație UE de conformitate, marcaj CE, recurs la un organism notificat după caz, păstrarea dovezilor.
Informarea utilizatorilor
Notă de securitate, instrucțiuni de instalare și configurare, comunicarea perioadei de suport, avertismente și informații privind sfârșitul ciclului de viață.
Guvernanță și supraveghere a pieței
Repartizarea responsabilităților între cercetare-dezvoltare, securitate, calitate și juridic, competențe în securitatea produsului, indicatori de pilotaj, pregătire pentru solicitările autorităților de supraveghere a pieței.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Se certifică Cyber Resilience Act?
Nu în sensul unei certificări voluntare de tip ISO. Regulamentul impune o evaluare a conformității, o declarație UE de conformitate și marcajul CE, cu intervenția unui organism notificat pentru anumite categorii de produse. Diagnosticul Datamensio măsoară maturitatea practicilor dumneavoastră și pregătește acest dosar, nu eliberează nicio atestare.
Ce diferență există între acest diagnostic și un audit de conformitate CRA?
Auditul examinează un produs și se încheie cu un decalaj sau o conformitate. Diagnosticul situează practicile dumneavoastră pe o scală de maturitate, domeniu tematic cu domeniu tematic, și indică acțiunea care permite trecerea la nivelul următor. Servește la încadrarea programului înainte de audit și la urmărirea progresului acestuia.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute de către un responsabil de securitate a produsului. Versiunea completă, în mod colaborativ, se întinde în general pe o săptămână până la două, cea mai mare parte a timpului fiind folosită pentru colectarea elementelor de la cercetare-dezvoltare, calitate și suport.
Se poate adapta cadrul de referință la portofoliul nostru de produse?
Da. Întrebările, nivelurile și domeniile tematice sunt modificabile, și puteți adăuga propriile cerințe interne. IA produce o adaptare pe familie de produse sau pe unitate de afaceri pornind de la procedurile dumneavoastră de dezvoltare.
Cum se articulează acest diagnostic cu NIS 2 sau ISO 27001?
NIS 2 și ISO 27001 vizează organizația și sistemele sale, CRA vizează produsele introduse pe piață. Practicile de gestionare a vulnerabilităților și de analiză a riscurilor se regăsesc parțial. O foaie de parcurs transversală permite consolidarea mai multor diagnostice fără a duplica acțiunile.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările vizează practicile de proiectare, gestionarea vulnerabilităților și documentație, nu configurații precise. Un responsabil de securitate a produsului sau un responsabil de calitate poate răspunde, alocând modul colaborativ întrebărilor ce țin de inginerie.
Se pot compara mai multe linii de produse între ele?
Da. Același cadru de referință poate fi desfășurat pe mai multe unități de afaceri sau game, cu un benchmark între entități și față de evaluările anterioare. Decalajele alimentează o foaie de parcurs consolidată la nivelul grupului.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.