Zrelost Cyber Resilience Act · Uredba (EU) 2024/2847 o kibernetski odpornosti digitalnih izdelkov
Vaše zahteve CRA, prevedene v stopnje zrelosti, dokumentirane vrzeli in ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost Cyber Resilience Act · Uredba (EU) 2024/2847 o kibernetski odpornosti digitalnih izdelkov
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Uredba (EU) 2024/2847 (Cyber Resilience Act) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem, stopnja, višja stopnja in dejanje, ki ju povezuje, pretvori ugotovitev v trajektorijo.
Imate ažurno programsko nomenklaturo (SBOM) za izdelke, ki jih dajete na trg?
- N1
Programska nomenklatura ne obstaja. Komponente tretjih strani v izdelku poznajo le razvijalci, ki so jih vgradili.
- N2
Za nekatere izdelke obstajajo seznami komponent, pripravljeni ročno, brez skupne oblike in brez posodabljanja ob vsaki dobavi.
- N3
SBOM se generira v standardni obliki za izdelke iz obsega, posodablja se ob vsaki objavljeni različici in hrani skupaj s tehnično dokumentacijo.
- N4
SBOM nastaja samodejno v verigi gradnje, se primerja z obvestili o ranljivostih in sproži pregled, kadar je prizadeta posamezna komponenta.
- N5
SBOM zajema tudi posredne odvisnosti in komponente dobaviteljev, z dokumentiranim spremljanjem odstopanj in periodičnim pregledom pravil za sprejemanje komponent.
Dejanje za prehod s stopnje 2 na stopnjo 3
Določiti standardno obliko SBOM, jo vključiti v definicijo dobave vsake objavljene različice in preveriti njeno prisotnost ob pregledu izdaje, ter jo povezati s tehničnim spisom izdelka.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritev
O čem govori ta referenčni okvir
Cyber Resilience Act, uredba (EU) 2024/2847, velja za izdelke z digitalnimi elementi, strojne ali programske, dane na voljo na trgu Unije. Določa bistvene zahteve glede kibernetske varnosti za zasnovo, razvoj in proizvodnjo ter obveznosti obravnave ranljivosti v celotnem obdobju podpore. Nalaga ocenjevanje skladnosti, tehnično dokumentacijo, EU izjavo o skladnosti in oznako CE. Vzpostavlja tudi obveznosti obveščanja agencije ENISA o aktivno izkoriščanih ranljivostih in resnih incidentih.
Težava ni v branju besedila, temveč v tem, da se ve, kdo kaj naredi. CRA zadeva razvoj in raziskave, varnost izdelkov, kakovost, pravno službo in podporo, pogosto v organizacijah, kjer je bila kibernetska varnost zasnovana za informacijski sistem, ne za prodajani izdelek. Poznate natančen obseg vaših izdelkov, ki jih uredba zadeva, in njihovo razvrstitev? Znate za vsakega od njih pripraviti ažurno programsko nomenklaturo? Kdo se danes zavezuje glede obdobja podpore in distribucije varnostnih popravkov?
Pogosto se pojavlja zmeda: CRA ni različica NIS 2. NIS 2 obravnava varnost subjektov in njihovih sistemov, CRA pa izdelke, ki jih podjetje daje na trg. Ista skupina je lahko zadevana z obema, z različnimi nosilci in dokazili. Pozornost je treba nameniti tudi temu, da uredba velja po postopnem časovnem razporedu, pri čemer obveznosti obveščanja nastopijo pred splošnimi obveznostmi. Obravnava tematike kot zgolj spis za pridobitev oznake CE vodi do prepoznega odkritja temeljnih izzivov, zlasti usklajenega obvladovanja ranljivosti.
Presoja skladnosti se konča z vrzeljo ali skladnostjo, za vsak izdelek posebej. Diagnostika zrelosti odgovarja na drugo vprašanje: na kateri stopnji obvladovanja so vaše prakse varnosti izdelkov in katero natančno dejanje omogoči prehod na višjo stopnjo. To omogoča vodenje programa preobrazbe na več linijah izdelkov in več razvojnih ekipah, z razumljivo trajektorijo na seji uprave, namesto seznama zahtev za odkljukanje.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo, lahko pa ga prilagodite. UI prilagodi tematska področja, vprašanja in stopnje vašemu portfelju izdelkov ali zgradi različico na podlagi vaših razvojnih postopkov in obstoječih tehničnih spisov. Nato preveri odgovore, označi vrzeli, ki se ponavljajo med linijami izdelkov, in pripravi poročilo, medtem ko odločitev ostaja vaša: vsako predlagano dejanje se obdrži, zavrže ali preoblikuje, preden vstopi v načrt poti.
Referenčni standard: Uredba (EU) 2024/2847 (Cyber Resilience Act)
Ocenjevana tematska področja
Obseg in razvrstitev izdelkov
Popis izdelkov z digitalnimi elementi, prevzeta vloga (proizvajalec, uvoznik, distributer), razvrstitev glede na kategorije uredbe, opredelitev kritičnih izdelkov.
Bistvene varnostne zahteve by design
Upoštevanje varnosti že od zasnove, varna privzeta konfiguracija, zmanjšanje napadne površine, zaščita podatkov in komunikacij, nadzor dostopa, beleženje dogodkov.
Analiza tveganja izdelka
Ocenjevanje tveganj kibernetske varnosti po izdelku, dokumentiranje analize, posodabljanje ob funkcionalnih spremembah, upoštevanje pričakovane rabe in predvidljive zlorabe.
Programska nomenklatura in dobavna veriga
Priprava in posodabljanje SBOM, identifikacija komponent tretjih strani in odprtokodnih komponent, ocenjevanje dobaviteljev, sledljivost odvisnosti in dobavljenih različic.
Obvladovanje ranljivosti in usklajeno razkrivanje
Kontaktna točka za prijave, politika usklajenega razkrivanja, roki obravnave, varnostni testi in pregledi, spremljanje nepopravljenih ranljivosti.
Varnostne posodobitve in obdobje podpore
Določitev in objava obdobja podpore, distribucija popravkov, ločevanje varnostnih popravkov od funkcionalnih nadgradenj, upravljanje prenehanja podpore.
Obveščanje o izkoriščanih ranljivostih in incidentih
Zaznava in opredelitev, postopki obveščanja agencije ENISA in nacionalnih organov, spoštovanje rokov, obveščanje uporabnikov, sledljivost obvestil.
Ocenjevanje skladnosti in tehnična dokumentacija
Izbira postopka ocenjevanja, tehnični spis, EU izjava o skladnosti, oznaka CE, sodelovanje priglašenega organa, kjer je to potrebno, hramba dokazil.
Obveščanje uporabnikov
Varnostna navodila, navodila za namestitev in konfiguracijo, obveščanje o obdobju podpore, opozorila in informacije o koncu življenjske dobe.
Upravljanje in nadzor trga
Razporeditev odgovornosti med razvojem, varnostjo, kakovostjo in pravno službo, kompetence na področju varnosti izdelkov, kazalniki vodenja, priprava na zahteve organov nadzora trga.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Se Cyber Resilience Act certificira?
Ne v smislu prostovoljne certifikacije tipa ISO. Uredba nalaga ocenjevanje skladnosti, EU izjavo o skladnosti in oznako CE, pri čemer pri nekaterih kategorijah izdelkov sodeluje priglašeni organ. Diagnostika Datamensio meri zrelost vaših praks in pripravi ta spis, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in presojo skladnosti CRA?
Presoja preuči izdelek in se konča z vrzeljo ali skladnostjo. Diagnostika umesti vaše prakse na lestvico zrelosti, tematsko področje za tematskim področjem, in navede dejanje, ki omogoči prehod na naslednjo stopnjo. Služi za zasnovo programa pred presojo in za spremljanje njegovega napredka.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah, odgovoren je lahko vodja varnosti izdelkov. Celovita različica, v sodelovalnem načinu, se običajno razteza na enega do dva tedna, pri čemer večino časa vzame zbiranje elementov pri razvoju, kakovosti in podpori.
Je mogoče referenčni okvir prilagoditi našemu portfelju izdelkov?
Da. Vprašanja, stopnje in tematska področja so spremenljivi, dodate lahko tudi lastne notranje zahteve. UI pripravi različico po družini izdelkov ali poslovni enoti na podlagi vaših razvojnih postopkov.
Kako se ta diagnostika povezuje z NIS 2 ali ISO 27001?
NIS 2 in ISO 27001 obravnavata organizacijo in njene sisteme, CRA pa izdelke, dane na trg. Prakse obvladovanja ranljivosti in analize tveganja se deloma prekrivajo. Prečni načrt poti omogoča združevanje več diagnostik brez podvajanja dejanj.
Je za odgovarjanje potrebno tehnično strokovno znanje?
Vprašanja zadevajo prakse zasnove, obvladovanja ranljivosti in dokumentiranja, ne natančnih konfiguracij. Nanje lahko odgovori vodja varnosti izdelkov ali vodja kakovosti, pri čemer vprašanja, ki zadevajo inženiring, dodeli sodelovalnemu načinu.
Je mogoče primerjati več linij izdelkov med seboj?
Da. Isti referenčni okvir je mogoče uporabiti pri več poslovnih enotah ali linijah izdelkov, z medsebojno primerjavo in primerjavo s predhodnimi ocenjevanji. Vrzeli se napajajo v konsolidiran načrt poti na ravni skupine.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.