CRA wymaga od producenta działającego procesu obsługi podatności od chwili wprowadzenia produktu do obrotu do końca okresu wsparcia. Załącznik I część II wymienia osiem obowiązków: identyfikację komponentów i podatności, bezzwłoczne usuwanie podatności, regularne testy, informowanie o naprawionych podatnościach, politykę skoordynowanego ujawniania podatności, adres kontaktowy, bezpieczną dystrybucję aktualizacji oraz ich bezpłatne i bezzwłoczne udostępnianie.
- Podstawa: art. 13 ust. 8 i załącznik I część II. Obowiązek trwa przez okres wsparcia, co najmniej 5 lat, chyba że produkt będzie używany krócej.
- Proces obejmuje także komponenty stron trzecich. Podatność w komponencie zgłasza się podmiotowi, który go utrzymuje.
- Producent musi mieć politykę skoordynowanego ujawniania podatności i publiczny adres do zgłoszeń.
- Po wydaniu poprawki producent publikuje informację o naprawionej podatności.
- Zgłaszanie do CSIRT w 24 i 72 godziny dotyczy tylko podatności aktywnie wykorzystywanych i jest osobnym obowiązkiem z art. 14.
Czego CRA wymaga w obsłudze podatności?
CRA wymaga, żeby przy wprowadzaniu produktu do obrotu i przez cały okres wsparcia producent skutecznie obsługiwał podatności produktu i jego komponentów, zgodnie z załącznikiem I część II (art. 13 ust. 8). Musi mieć odpowiednią politykę i procedury, w tym politykę skoordynowanego ujawniania podatności, dla zgłoszeń ze źródeł wewnętrznych i zewnętrznych.
Podatność to w rozumieniu CRA słabość, wrażliwość lub wada produktu, którą można wykorzystać podczas cyberzagrożenia (art. 3 pkt 40). Okres wsparcia wynosi co najmniej 5 lat, chyba że produkt z założenia będzie używany krócej.
Jakie osiem obowiązków wymienia załącznik I część II?
Załącznik wymienia osiem obowiązków producenta: identyfikowanie komponentów i podatności z użyciem SBOM, bezzwłoczne usuwanie podatności, regularne testy bezpieczeństwa, informowanie o naprawionych podatnościach, politykę skoordynowanego ujawniania podatności, ułatwianie zgłoszeń przez adres kontaktowy, bezpieczną dystrybucję aktualizacji oraz bezzwłoczne i bezpłatne udostępnianie aktualizacji zabezpieczeń.
| Pkt | Obowiązek | Co musi istnieć w firmie |
|---|---|---|
| 1 | Identyfikowanie i dokumentowanie komponentów i podatności, w tym SBOM | SBOM dla każdej wersji, rejestr podatności |
| 2 | Bezzwłoczne usuwanie podatności, w miarę możliwości oddzielnie od aktualizacji funkcji | Zasady oceny i terminów, możliwość wydania samej poprawki |
| 3 | Skuteczne i regularne testy i przeglądy bezpieczeństwa | Plan testów i ich wyniki |
| 4 | Informowanie o naprawionych podatnościach po wydaniu aktualizacji | Wzór i miejsce publikacji biuletynu bezpieczeństwa |
| 5 | Polityka skoordynowanego ujawniania podatności | Opublikowana polityka CVD |
| 6 | Ułatwianie wymiany informacji o podatnościach, w tym adres kontaktowy | Publiczny adres do zgłoszeń, osoba, która go obsługuje |
| 7 | Bezpieczna dystrybucja aktualizacji | Zabezpieczony mechanizm i kanał aktualizacji |
| 8 | Aktualizacje zabezpieczeń bezzwłocznie i bezpłatnie, z komunikatem dla użytkowników | Zasady wydawania i informowania |
Jak wygląda proces krok po kroku?
Proces ma sześć kroków: przyjęcie informacji o podatności, potwierdzenie i ocena, decyzja o sposobie i terminie naprawy, przygotowanie i przetestowanie poprawki, wydanie aktualizacji z informacją dla użytkowników oraz zamknięcie sprawy z aktualizacją dokumentacji. Poniższy układ jest praktyczną propozycją, a nie brzmieniem przepisu.
- Przyjęcie. Informacja trafia z jednego z trzech źródeł: zgłoszenie z zewnątrz na adres kontaktowy, własne testy albo monitorowanie komponentów z SBOM. Każda sprawa dostaje numer i właściciela.
- Potwierdzenie i ocena. Czy podatność dotyczy produktu, których wersji i modeli, jaka jest dotkliwość i czy są dowody wykorzystania. Jeśli są, uruchamia się równolegle zgłoszenie z art. 14.
- Decyzja. Poprawka, środek łagodzący czy uzasadniona decyzja, że podatność nie dotyczy produktu. Termin zależy od ryzyka.
- Poprawka. Zmiana w kodzie lub konfiguracji, testy, przegląd. Dla komponentu: aktualizacja do wersji naprawionej i zgłoszenie do jego opiekuna, jeśli podatność wykryłeś sam.
- Wydanie i informacja. Aktualizacja zabezpieczeń bezpiecznym kanałem, bezpłatnie, z komunikatem, co użytkownik ma zrobić. Potem informacja o naprawionej podatności.
- Zamknięcie. Aktualizacja SBOM, rejestru podatności, a w razie potrzeby oceny ryzyka i dokumentacji technicznej.
Skąd producent ma wiedzieć o podatnościach?
Z trzech źródeł, które CRA wskazuje pośrednio: z własnych regularnych testów i przeglądów, z monitorowania komponentów zapisanych w SBOM oraz ze zgłoszeń osób trzecich. Dlatego producent musi podać adres do zgłaszania podatności i wyznaczyć pojedynczy punkt kontaktowy, który podaje w informacjach dla użytkownika (art. 13 ust. 17, załącznik II).
Punkt kontaktowy ma pozwalać użytkownikom wybrać preferowany sposób komunikacji i nie może ograniczać ich do narzędzi zautomatyzowanych. Listę komponentów opisuje artykuł SBOM w Cyber Resilience Act.
Co powinna zawierać polityka skoordynowanego ujawniania podatności?
CRA wymaga, żeby producent wprowadził i stosował politykę skoordynowanego ujawniania podatności, ale nie określa jej treści. W praktyce polityka mówi, gdzie i jak zgłosić podatność, w jakim czasie producent potwierdza zgłoszenie, jak informuje o postępach, kiedy następuje publiczne ujawnienie i jak traktuje osoby zgłaszające w dobrej wierze.
- adres do zgłoszeń i sposób bezpiecznego przekazania szczegółów,
- zakres: których produktów i wersji dotyczy polityka,
- czas potwierdzenia zgłoszenia i częstotliwość informacji zwrotnej,
- zasady uzgadniania terminu ujawnienia,
- deklaracja wobec zgłaszających działających w dobrej wierze,
- miejsce publikacji informacji o naprawionych podatnościach.
Miejsce, w którym można zapoznać się z polityką, podaje się w informacjach dla użytkownika. Sama polityka i dowód podania adresu kontaktowego należą do dokumentacji technicznej (załącznik VII pkt 2 lit. b).
Kiedy podatność trzeba zgłosić do CSIRT?
Tylko wtedy, gdy jest aktywnie wykorzystywana, czyli istnieją wiarygodne dowody, że ktoś działający w złych zamiarach wykorzystał ją w systemie bez zgody właściciela. Wtedy producent wysyła wczesne ostrzeżenie w 24 godziny i zgłoszenie w 72 godziny przez platformę ENISA. Pozostałe podatności obsługuje we własnym procesie i może zgłosić dobrowolnie.
Szczegóły opisuje artykuł Zgłaszanie podatności i incydentów CRA: zasady 24 i 72 godzin.
Monitorowanie SBOM pokazuje nową podatność w bibliotece do parsowania danych używanej w firmware sterownika. Inżynier sprawdza, że podatna funkcja jest wywoływana przy przetwarzaniu danych z sieci, więc podatność dotyczy produktu. Nie ma dowodów wykorzystania, więc art. 14 nie ma zastosowania.
Zespół aktualizuje bibliotekę, testuje firmware i wydaje wersję poprawkową jako aktualizację zabezpieczeń. Po wydaniu publikuje biuletyn: których modeli i wersji dotyczy podatność, jaki jest jej skutek i dotkliwość oraz którą wersję należy zainstalować. SBOM i rejestr podatności zostają zaktualizowane.
Co powinien zrobić producent?
Producent powinien wyznaczyć osobę odpowiedzialną za bezpieczeństwo produktu, opublikować adres kontaktowy i politykę CVD, uruchomić monitorowanie komponentów na podstawie SBOM oraz spisać procedurę z rolami i terminami. Proces warto sprawdzić na jednej prawdziwej podatności, zanim zrobi to pierwsze zgłoszenie z zewnątrz.
- Wyznacz właściciela procesu i zastępcę. W małej firmie to może być jedna osoba z zespołu R&D.
- Opublikuj adres do zgłoszeń i politykę CVD i podaj je w informacjach dla użytkownika.
- Uruchom monitorowanie komponentów z SBOM i ustal, kto ocenia wyniki.
- Spisz procedurę: kroki, role, kryteria dotkliwości, własne terminy naprawy.
- Przygotuj wzory: potwierdzenie zgłoszenia, komunikat do użytkowników, biuletyn bezpieczeństwa.
- Połącz proces ze zgłaszaniem z art. 14, żeby dowód wykorzystania od razu uruchamiał właściwy tryb.
- Prowadź rejestr podatności i dołącz opis procesu do dokumentacji technicznej.
Jak dostarczać poprawki, opisuje artykuł Bezpieczne aktualizacje firmware i OTA zgodne z CRA.