Produkto rizikos vertinimas
Pradėkite nuo produkto architektūros, naudotojų, duomenų srautų ir numatomo naudojimo. Nustatykite grėsmes, galimą poveikį ir priemones, kuriomis rizika valdoma. Rizikos vertinimas turi padėti priimti produkto sprendimus ir būti atnaujinamas keičiantis produktui.
Veiksmas
Aprašykite pasitikėjimo ribas, išorines sąsajas, duomenų jautrumą ir pagrįstai numanomus naudojimo scenarijus.
Įrodymas
Produkto rizikų registras su priemonėmis, likutinės rizikos sprendimu, atsakingu asmeniu ir peržiūros data.
Saugus projektavimas ir saugios pradinės nuostatos
Saugumą įtraukite į produkto reikalavimus, architektūros peržiūras, programinio kodo patikrą ir leidimų rengimą. ENISA praktinis leidinys padeda šiuos principus susieti su pakartojamais inžineriniais veiksmais.
Veiksmas
Patikrinkite prieigos kontrolę, pradines nuostatas, naujinimo mechanizmą, duomenų apsaugą ir produkto atsparumą numatomiems sutrikimams.
Įrodymas
Patvirtinti saugumo reikalavimai, architektūros sprendimai, peržiūrų įrašai ir leidimo priėmimo kriterijai.
Komponentų apskaita ir SBOM
Programinės įrangos sudedamųjų dalių sąrašas padeda nustatyti, kuriuos produkto leidimus gali paveikti naujas pažeidžiamumas. Sąrašą susiekite su konkrečia produkto versija ir komponentų kilme. Vien failo sukūrimas dar neužtikrina nuolatinės komponentų kontrolės.
2026 m. spalio 22 d. ENISA paskelbė praktines SBOM diegimo gaires. Leidinyje aptariamas sudedamųjų dalių sąrašo gyvavimo ciklas, duomenų srautai ir rizikų valdymo priemonės.
Veiksmas
Automatizuokite komponentų ir jų versijų apskaitą, tikrinkite priklausomybių pokyčius ir nustatykite reagavimo į rastą pažeidžiamumą tvarką.
Įrodymas
Konkretaus leidimo mašininiu būdu skaitomas SBOM, komponento kilmės duomenys ir dokumentuotas pažeidžiamumo aktualumo vertinimas.
Bandymų rezultatai ir techninė dokumentacija
Bandymų planą susiekite su rizikomis ir produkto saugumo reikalavimais. Pagal produkto pobūdį derinkite programinio kodo analizę, priklausomybių tikrinimą, sąsajų bandymus, neteisingų įvesčių tikrinimą ir scenarijais pagrįstą saugumo vertinimą.
CRA techninės dokumentacijos turinys nustatytas VII priede. II priedas skirtas informacijai ir instrukcijoms naudotojui. Dokumentacijos paketą organizuokite taip, kad būtų galima atsekti kiekvieną reikalavimą iki įrodymo.
Veiksmas
Užfiksuokite bandytą produkto versiją, aplinką, metodą, apimtį, rezultatus ir pašalintų trūkumų pakartotinio tikrinimo eigą.
Įrodymas
Bandymų ataskaita, trūkumų registras ir reikalavimų bei įrodymų atsekamumo lentelė.
Standartų taikymą tikrinkite pagal jų būseną
Standarto techninis naudingumas ir teisinė atitikties prezumpcija yra skirtingi dalykai. Prezumpcijai svarbu, ar konkretaus darniojo standarto nuoroda paskelbta ES oficialiajame leidinyje ir kuriuos reikalavimus ji apima.
Renkantis standartą užfiksuokite jo versiją, taikymo sritį, teisinį statusą ir likusius nepadengtus reikalavimus. Bendras informacijos saugumo valdymo sistemos sertifikatas nepakeičia produkto CRA vertinimo.