CRA brandos savęs vertinimas

1.1Ar turite rašytines ir patvirtintas produktų saugumo politikas?

1.2Ar aiškiai apibrėžti vaidmenys ir atsakomybės už produktų saugumo veiklas (pvz., kūrimą, pažeidžiamumų valdymą, atnaujinimus)?

1.3Ar palaikote produkto lygmens techninę dokumentaciją, aprašančią įdiegtas saugumo funkcijas, rizikos vertinimus, projektavimo sprendimus ir atnaujinimo procedūras?

1.4Ar yra procesas, skirtas reguliariai peržiūrėti produkto saugumą ir susijusios dokumentacijos kokybę?

1.5Ar žinote, kuri rinkos priežiūros institucija atsakinga už CRA vykdymo užtikrinimą, kokia atitikties vertinimo procedūra taikoma jūsų produktams, ir kaip prireikus bendrauti su atitinkamomis institucijomis?

2.1Ar atliekate kibernetinio saugumo rizikos vertinimus ir naudojate jų rezultatus, priimdami produkto projektavimo, kūrimo, konfigūravimo ir komponentų valdymo sprendimus?

2.2Ar produktai nuo pat pradžių projektuojami taikant integruoto saugumo (security-by-design) principus?

2.3Ar produktai tiekiami su pagal numatytuosius nustatymus saugiomis konfigūracijomis ir nustatymais?

2.4Ar prieš išleisdami ar atnaujindami produktą atliekate saugumo patikras ir testavimą, ir kiek tam naudojami automatizuoti įrankiai?

2.5Kai rizikos pasikeičia arba atsiranda naujų grėsmių, ar rizikos vertinimai, konfigūracijos ir trečiųjų šalių komponentai peržiūrimi ir atnaujinami?

3.1Ar turite procesą, skirtą priimti, patvirtinti gavimą, registruoti ir stebėti klientų, tyrėjų ar vidaus darbuotojų praneštus pažeidžiamumus?

3.2Ar turite apibrėžtą procesą, skirtą saugumo atnaujinimų kūrimui, testavimui, pateikimui ir informavimui apie juos klientams dėl palaikomų produktų?

3.3Ar palaikote ir naudojate SBOM pažeidžiamumų ir priklausomybių valdymui palaikyti?

3.4Ar pažeidžiamumams ir atnaujinimams prioritetai nustatomi pagal riziką ir galimą poveikį?

3.5Ar patikrinate, kad saugumo atnaujinimai veiksmingai pašalina praneštus pažeidžiamumus, ir saugote šio patikrinimo įrodymus?

4.1Ar yra apibrėžtas metodas produkto saugumui valdyti eksploatacijos etape?

4.2Ar produkto gyvavimo ciklo valdymas aktyviai vykdomas, įskaitant apibrėžtus paramos laikotarpius, atsakomybę už atnaujinimus, eksploatacijos pabaigos tvarką ir bendravimą su klientais?

4.3Ar produktų eksploatacijos patirtis, incidentų peržiūros ir klientų atsiliepimai naudojami produktams laikui bėgant tobulinti?

4.4Ar yra struktūruotas ir išbandytas būdas spręsti nustatytas produkto saugumo problemas?

4.5Ar produktai stebimi eksploatacijos metu, siekiant nustatyti saugumo rizikas, pažeidžiamumus ir kylančias grėsmes?

5.1Ar užtenka įgūdžių saugiai projektuoti, kurti ir prižiūrėti produktus, įskaitant naudojimąsi išorės ekspertų pagalba, kai vidiniai pajėgumai riboti?

5.2Ar atitinkami darbuotojai gauna tinkamus mokymus apie savo pareigoms aktualias kibernetinio saugumo praktikas, įskaitant produktų rizikos valdymą, pažeidžiamumų valdymą ir integruotą saugumą (security-by-design)?

5.3Ar organizacija skatina atsakingo produktų kūrimo, atviro pranešimo ir produktų rizikų suvokimo kultūrą?

5.4Ar sekate aktualią išorinę produktų saugumo informaciją (pvz., rekomendacijas, įspėjimus)?

5.5Ar vertinate ir patvirtinate, kad jūsų komanda turi reikiamus įgūdžius ir kompetenciją saugiems produktams palaikyti?