Samoocena dojrzałości CRA

1.1Czy posiadasz spisane i zatwierdzone polityki bezpieczeństwa produktu?

1.2Czy role i zakresy odpowiedzialności za działania związane z bezpieczeństwem produktu (np. rozwój, zarządzanie podatnościami, aktualizacje) są jasno określone?

1.3Czy utrzymujesz dokumentację techniczną na poziomie produktu, opisującą wdrożone funkcje bezpieczeństwa, oceny ryzyka, decyzje projektowe oraz procedury aktualizacji?

1.4Czy istnieje proces regularnego przeglądu bezpieczeństwa produktu oraz jakości powiązanej dokumentacji?

1.5Czy znasz organ nadzoru rynku odpowiedzialny za egzekwowanie CRA, procedurę oceny zgodności mającą zastosowanie do Twoich produktów oraz sposób kontaktu z właściwymi organami w razie potrzeby?

2.1Czy przeprowadzasz oceny ryzyka cyberbezpieczeństwa i wykorzystujesz ich wyniki do ukierunkowania decyzji dotyczących projektowania, rozwoju, konfiguracji produktu oraz zarządzania komponentami?

2.2Czy produkty są projektowane zgodnie z zasadami bezpieczeństwa już na etapie projektowania (security-by-design) od samego początku?

2.3Czy produkty są dostarczane z konfiguracjami i ustawieniami bezpiecznymi domyślnie?

2.4Czy przeprowadzasz kontrole i testy bezpieczeństwa przed wydaniem lub aktualizacją produktu oraz w jakim stopniu wykorzystywane są narzędzia zautomatyzowane?

2.5Czy w przypadku zmiany ryzyka lub pojawienia się nowych zagrożeń oceny ryzyka, konfiguracje oraz komponenty stron trzecich są przeglądane i aktualizowane?

3.1Czy posiadasz proces odbierania, potwierdzania, rejestrowania i śledzenia podatności zgłaszanych przez klientów, badaczy lub pracowników wewnętrznych?

3.2Czy posiadasz określony proces tworzenia, testowania, dostarczania i komunikowania aktualizacji bezpieczeństwa klientom w odniesieniu do wspieranych produktów?

3.3Czy utrzymujesz i wykorzystujesz SBOM do wspierania zarządzania podatnościami i zależnościami?

3.4Czy podatności i aktualizacje są priorytetyzowane na podstawie ryzyka i potencjalnego wpływu?

3.5Czy weryfikujesz, że aktualizacje bezpieczeństwa skutecznie usuwają zgłoszone podatności, oraz przechowujesz dowody tej weryfikacji?

4.1Czy istnieje określone podejście do zarządzania bezpieczeństwem produktu w fazie eksploatacji?

4.2Czy zarządzanie cyklem życia produktu jest aktywnie prowadzone, w tym w zakresie określonych okresów wsparcia, odpowiedzialności za aktualizacje, ustaleń dotyczących zakończenia wsparcia oraz komunikacji z klientami?

4.3Czy doświadczenia z eksploatacji produktu, przeglądy poincydentalne oraz opinie klientów są wykorzystywane do stopniowego doskonalenia produktów?

4.4Czy istnieje ustrukturyzowany i przetestowany sposób rozwiązywania zidentyfikowanych problemów bezpieczeństwa produktu?

4.5Czy produkty są monitorowane podczas eksploatacji w celu identyfikacji zagrożeń bezpieczeństwa, podatności i pojawiających się zagrożeń?

5.1Czy dostępne są wystarczające umiejętności do bezpiecznego projektowania, tworzenia i utrzymywania produktów, w tym poprzez korzystanie z zewnętrznej wiedzy eksperckiej, gdy wewnętrzne zasoby są ograniczone?

5.2Czy odpowiedni pracownicy otrzymują właściwe szkolenia z zakresu praktyk cyberbezpieczeństwa adekwatnych do ich ról, w tym w zakresie zarządzania ryzykiem produktu, zarządzania podatnościami oraz bezpieczeństwa już na etapie projektowania?

5.3Czy organizacja promuje kulturę odpowiedzialnego rozwoju produktów, otwartego zgłaszania oraz świadomości ryzyk związanych z produktem?

5.4Czy śledzisz istotne zewnętrzne informacje dotyczące bezpieczeństwa produktów (np. biuletyny doradcze, alerty)?

5.5Czy oceniasz i weryfikujesz, że Twój zespół posiada wymagane umiejętności i kompetencje do utrzymywania bezpiecznych produktów?