Αυτοαξιολόγηση ωριμότητας CRA

1.1Διαθέτετε γραπτές και εγκεκριμένες πολιτικές ασφάλειας προϊόντων;

1.2Είναι σαφώς καθορισμένοι οι ρόλοι και οι αρμοδιότητες για τις δραστηριότητες ασφάλειας προϊόντων (π.χ. ανάπτυξη, διαχείριση ευπαθειών, ενημερώσεις);

1.3Διατηρείτε τεχνική τεκμηρίωση σε επίπεδο προϊόντος που περιγράφει τα υλοποιημένα χαρακτηριστικά ασφαλείας, τις αξιολογήσεις κινδύνου, τις αποφάσεις σχεδιασμού και τις διαδικασίες ενημέρωσης;

1.4Υπάρχει διαδικασία τακτικής επανεξέτασης της ασφάλειας του προϊόντος και της ποιότητας της σχετικής τεκμηρίωσης;

1.5Γνωρίζετε ποια είναι η Αρχή Εποπτείας της Αγοράς που είναι αρμόδια για την επιβολή της CRA, τη διαδικασία αξιολόγησης συμμόρφωσης που ισχύει για τα προϊόντα σας, καθώς και τον τρόπο επικοινωνίας με τις αρμόδιες αρχές όταν χρειάζεται;

2.1Διενεργείτε αξιολογήσεις κινδύνου κυβερνοασφάλειας και χρησιμοποιείτε τα αποτελέσματα για την καθοδήγηση αποφάσεων σχεδιασμού, ανάπτυξης, παραμετροποίησης και διαχείρισης συστατικών στοιχείων του προϊόντος;

2.2Σχεδιάζονται τα προϊόντα με βάση τις αρχές της ασφάλειας εκ σχεδιασμού από την αρχή;

2.3Παραδίδονται τα προϊόντα με ρυθμίσεις και παραμετροποιήσεις ασφαλείς εξ ορισμού;

2.4Διενεργείτε ελέγχους και δοκιμές ασφαλείας πριν από την κυκλοφορία ή την ενημέρωση ενός προϊόντος, και σε ποιο βαθμό χρησιμοποιούνται αυτοματοποιημένα εργαλεία;

2.5Όταν οι κίνδυνοι μεταβάλλονται ή προκύπτουν νέες απειλές, επανεξετάζονται και ενημερώνονται οι αξιολογήσεις κινδύνου, οι παραμετροποιήσεις και τα συστατικά στοιχεία τρίτων;

3.1Διαθέτετε διαδικασία για τη λήψη, την επιβεβαίωση, την καταγραφή και την παρακολούθηση ευπαθειών που αναφέρονται από πελάτες, ερευνητές ή εσωτερικό προσωπικό;

3.2Διαθέτετε καθορισμένη διαδικασία για τη δημιουργία, τον έλεγχο, την παράδοση και την κοινοποίηση ενημερώσεων ασφαλείας στους πελάτες για τα υποστηριζόμενα προϊόντα;

3.3Διατηρείτε και χρησιμοποιείτε SBOM για την υποστήριξη της διαχείρισης ευπαθειών και εξαρτήσεων;

3.4Ιεραρχούνται οι ευπάθειες και οι ενημερώσεις με βάση τον κίνδυνο και τον πιθανό αντίκτυπο;

3.5Επαληθεύετε ότι οι ενημερώσεις ασφαλείας επιλύουν αποτελεσματικά τις αναφερθείσες ευπάθειες και διατηρείτε αποδεικτικά στοιχεία αυτής της επαλήθευσης;

4.1Υπάρχει καθορισμένη προσέγγιση για τη διαχείριση της ασφάλειας του προϊόντος κατά τη φάση λειτουργίας;

4.2Διαχειρίζεται ενεργά ο κύκλος ζωής του προϊόντος, συμπεριλαμβανομένων καθορισμένων περιόδων υποστήριξης, αρμοδιοτήτων ενημέρωσης, ρυθμίσεων τέλους ζωής και επικοινωνίας με τους πελάτες;

4.3Χρησιμοποιείται η εμπειρία από τη λειτουργία του προϊόντος, τις επανεξετάσεις μετά από συμβάντα και τα σχόλια πελατών για τη βελτίωση των προϊόντων με την πάροδο του χρόνου;

4.4Υπάρχει δομημένος και δοκιμασμένος τρόπος αντιμετώπισης εντοπισμένων ζητημάτων ασφάλειας προϊόντων;

4.5Παρακολουθούνται τα προϊόντα κατά τη λειτουργία τους για τον εντοπισμό κινδύνων ασφαλείας, ευπαθειών και αναδυόμενων απειλών;

5.1Υπάρχουν επαρκείς δεξιότητες για τον σχεδιασμό, την ανάπτυξη και τη συντήρηση προϊόντων με ασφαλή τρόπο, συμπεριλαμβανομένης της αξιοποίησης εξωτερικής τεχνογνωσίας όπου η εσωτερική ικανότητα είναι περιορισμένη;

5.2Λαμβάνει το σχετικό προσωπικό κατάλληλη εκπαίδευση σε πρακτικές κυβερνοασφάλειας που αφορούν τον ρόλο του, συμπεριλαμβανομένης της διαχείρισης κινδύνου προϊόντων, της διαχείρισης ευπαθειών και της ασφάλειας εκ σχεδιασμού;

5.3Προωθεί ο οργανισμός μια κουλτούρα υπεύθυνης ανάπτυξης προϊόντων, ανοικτής αναφοράς και ευαισθητοποίησης σχετικά με τους κινδύνους των προϊόντων;

5.4Παρακολουθείτε σχετικές εξωτερικές πληροφορίες ασφάλειας προϊόντων (π.χ. συστάσεις, ειδοποιήσεις);

5.5Αξιολογείτε και επιβεβαιώνετε ότι η ομάδα σας διαθέτει τις απαιτούμενες δεξιότητες και επάρκεια για τη συντήρηση ασφαλών προϊόντων;