Akt o kybernetické odolnosti (CRA)
Připravíme vaše produkty na požadavky CRA.
Cyber Resilience Act (CRA) zavádí nové požadavky na kybernetickou bezpečnost produktů s digitálními prvky během celého jejich životního cyklu.
Pomáháme výrobcům, integrátorům a dodavatelům technologií zavést bezpečný vývoj, řízení zranitelností, SBOM a technickou dokumentaci potřebnou k prokázání shody.
Co CRA znamená pro vaši organizaci?
CRA se dotýká všech produktů obsahujících software nebo digitální funkcionalitu.
Typicky se týká:
- specializovaného software
- IoT zařízení
- embedded systémů
- průmyslových řídicích systémů
- kolejových a dopravních technologií
- síťových a komunikačních zařízení
Nově vzniká odpovědnost za bezpečnost produktu po celou dobu jeho životního cyklu. Součástí požadavků je mimo jiné řízení zranitelností, technická dokumentace, bezpečný vývoj a komunikace v dodavatelském řetězci.
Jaké oblasti CRA řeší?
Klíčové oblasti a pilíře CRA
CRA z pohledu výrobce stojí na několika základních oblastech:
- bezpečný vývoj produktu,
- evidence použitých komponent (SBOM),
- řízení zranitelností,
- technická dokumentace,
- komunikace v rámci dodavatelského řetězce.
Jak vám pomůže KINT
Jak vyřešit CRA?
Posouzení dopadů CRA
Zjistíme, zda a v jakém rozsahu se požadavky CRA vztahují na váš produkt.
Bezpečný vývoj produktu
Pomůžeme začlenit bezpečnostní požadavky do stávajícího procesu vývoje.
Řízení zranitelností
Nastavíme proces identifikace, hodnocení a řešení zranitelností.
SBOM
Pomůžeme vytvořit a spravovat Software Bill of Materials.
Technická dokumentace
Připravíme podklady potřebné pro prohlášení o shodě a doložení splnění požadavků CRA.
CRA A IEC 62443 jako základ
CRA stanovuje povinnosti výrobců a požadavky na produkty s digitálními prvky.
IEC 62443 představuje osvědčený rámec, který pomáhá tyto požadavky prakticky implementovat v procesech vývoje, integrace a údržby systémů.
ZAČLENĚNÍ CRA DO EXISTUJÍCÍHO VÝVOJE
CRA neznamená začít od nuly
Ve většině případů lze požadavky CRA začlenit do stávajících procesů vývoje.
Cílem není vytvářet nové paralelní procesy, ale rozšířit existující vývoj o bezpečnostní požadavky, správu zranitelností a potřebnou dokumentaci.
ČASTÉ OBLASTI, KDE FIRMY NARÁŽEJÍ
- Vývoj produktu: chybí bezpečnostní požaadavky a formalizovaný proces vývoje.
- Open-source komponenta: chybí seznam komponent a jejich závislostí (SBOM).
- Údržba produktu: chybí proces řízení zranitelností.
- Dokumentace: nedostatečné podklady pro prohlášení o shodě.
- Dodavatelé: nejasné rozdělení odpovědností a přenos informací v dodavatelském řetězci.
Nejste si jistí, zda se na váš produkt vztahuje CRA?
Pomůžeme vám vyhodnotit dopady CRA, identifikovat hlavní mezery a navrhnout realistický plán implementace.
- Úvodní konzultace
- Posouzení relevance CRA
- Gap analýza
- Návrh dalšího postupu
Napište nám základní informace o produktu a společně vyhodnotíme, zda a v jakém rozsahu se na něj požadavky CRA vztahují.