Самооценка на зрелостта по CRA

1.1Разполагате ли с писмени и одобрени политики за сигурност на продукта?

1.2Ясно определени ли са ролите и отговорностите за дейностите по сигурността на продукта (напр. разработка, управление на уязвимости, актуализации)?

1.3Поддържате ли техническа документация на ниво продукт, описваща внедрените функции за сигурност, оценките на риска, проектните решения и процедурите за актуализация?

1.4Съществува ли процес за редовен преглед на сигурността на продукта и качеството на свързаната документация?

1.5Осведомени ли сте за органа за надзор на пазара, отговорен за прилагането на CRA, за процедурата за оценка на съответствието, приложима за вашите продукти, и за начина на взаимодействие със съответните органи при необходимост?

2.1Извършвате ли оценки на риска за киберсигурността и използвате ли резултатите за насочване на решенията относно проектирането, разработката, конфигурацията и управлението на компонентите на продукта?

2.2Продуктите проектирани ли са с прилагане на принципите за сигурност при проектирането от самото начало?

2.3Продуктите доставят ли се с конфигурации и настройки, сигурни по подразбиране?

2.4Извършвате ли проверки и тестове за сигурност преди издаване или актуализиране на продукт и до каква степен се използват автоматизирани инструменти?

2.5Когато рисковете се променят или възникнат нови заплахи, преразглеждат и актуализират ли се оценките на риска, конфигурациите и компонентите от трети страни?

3.1Разполагате ли с процес за получаване, потвърждаване, регистриране и проследяване на уязвимости, докладвани от клиенти, изследователи или вътрешен персонал?

3.2Разполагате ли с определен процес за създаване, тестване, доставяне и съобщаване на актуализации на сигурността на клиентите за поддържаните продукти?

3.3Поддържате и използвате ли SBOM за подпомагане на управлението на уязвимости и зависимости?

3.4Уязвимостите и актуализациите приоритизират ли се въз основа на риска и потенциалното въздействие?

3.5Проверявате ли дали актуализациите на сигурността ефективно отстраняват докладваните уязвимости и поддържате ли доказателства за тази проверка?

4.1Съществува ли определен подход за управление на сигурността на продукта по време на експлоатационната фаза?

4.2Активно управлява ли се жизненият цикъл на продукта, включително определени периоди на поддръжка, отговорности за актуализации, договорености за края на жизнения цикъл и комуникация с клиентите?

4.3Използва ли се опитът от експлоатацията на продукта, прегледите след инциденти и обратната връзка от клиентите за подобряване на продуктите с течение на времето?

4.4Съществува ли структуриран и изпитан начин за адресиране на установените проблеми със сигурността на продукта?

4.5Продуктите наблюдават ли се по време на експлоатация с цел установяване на рискове за сигурността, уязвимости и възникващи заплахи?

5.1Налични ли са достатъчни умения за проектиране, разработване и поддръжка на продуктите по сигурен начин, включително чрез външна експертиза, когато вътрешният капацитет е ограничен?

5.2Получава ли съответният персонал подходящо обучение по практики за киберсигурност, свързани с техните роли, включително управление на риска за продукта, управление на уязвимости и сигурност при проектиране?

5.3Насърчава ли организацията култура на отговорна разработка на продукти, открито докладване и осведоменост за рисковете за продукта?

5.4Следите ли съответната външна информация за сигурността на продукта (напр. препоръки, предупреждения)?

5.5Оценявате и потвърждавате ли, че екипът ви разполага с необходимите умения и компетентност за поддържане на сигурни продукти?