Autoavaliação de maturidade do CRA

1.1A sua organização dispõe de políticas de segurança dos produtos escritas e aprovadas?

1.2As funções e responsabilidades estão claramente definidas para as atividades de segurança dos produtos (por exemplo, desenvolvimento, gestão de vulnerabilidades, atualizações)?

1.3A sua organização mantém documentação técnica ao nível do produto que descreva as funcionalidades de segurança implementadas, as avaliações de risco, as decisões de conceção e os procedimentos de atualização?

1.4Existe um processo para rever regularmente a segurança dos produtos e a qualidade da documentação associada?

1.5Tem conhecimento da autoridade de fiscalização do mercado responsável pela aplicação do CRA, do procedimento de avaliação da conformidade aplicável aos seus produtos e da forma de interagir com as autoridades competentes, se necessário?

2.1A sua organização realiza avaliações de risco de cibersegurança e utiliza os resultados para orientar decisões relativas à conceção, ao desenvolvimento, à configuração e à gestão de componentes dos produtos?

2.2Os produtos são concebidos com base em princípios de segurança desde a conceção, desde o início?

2.3Os produtos são entregues com configurações e definições seguras por defeito?

2.4A sua organização realiza verificações e testes de segurança antes de lançar ou atualizar um produto, e em que medida são utilizadas ferramentas automatizadas?

2.5Quando os riscos mudam ou surgem novas ameaças, as avaliações de risco, as configurações e os componentes de terceiros são revistos e atualizados?

3.1A sua organização dispõe de um processo para receber, confirmar, registar e acompanhar as vulnerabilidades comunicadas por clientes, investigadores ou pessoal interno?

3.2A sua organização dispõe de um processo definido para criar, testar, disponibilizar e comunicar atualizações de segurança aos clientes relativamente aos produtos apoiados?

3.3A sua organização mantém e utiliza uma SBOM para apoiar a gestão de vulnerabilidades e de dependências?

3.4As vulnerabilidades e as atualizações são priorizadas com base no risco e no impacto potencial?

3.5A sua organização verifica se as atualizações de segurança resolvem eficazmente as vulnerabilidades comunicadas e mantém evidências dessa verificação?

4.1Existe uma abordagem definida para a gestão da segurança dos produtos durante a fase operacional?

4.2A gestão do ciclo de vida do produto é ativamente gerida, incluindo períodos de apoio definidos, responsabilidades de atualização, disposições de fim de vida e comunicação com os clientes?

4.3A experiência resultante da operação dos produtos, das revisões pós-incidente e do contributo dos clientes é utilizada para melhorar os produtos ao longo do tempo?

4.4Existe uma forma estruturada e testada de resolver os problemas de segurança dos produtos identificados?

4.5Os produtos são monitorizados durante a operação para identificar riscos de segurança, vulnerabilidades e ameaças emergentes?

5.1Estão disponíveis competências suficientes para conceber, desenvolver e manter produtos de forma segura, incluindo através de competências externas quando a capacidade interna é limitada?

5.2O pessoal relevante recebe formação adequada sobre práticas de cibersegurança relevantes para as suas funções, incluindo a gestão do risco dos produtos, a gestão de vulnerabilidades e a segurança desde a conceção?

5.3A organização promove uma cultura de desenvolvimento responsável de produtos, de comunicação aberta e de sensibilização para os riscos dos produtos?

5.4A sua organização acompanha informações externas relevantes sobre a segurança dos produtos (por exemplo, avisos, alertas)?

5.5A sua organização avalia e valida se a sua equipa possui as competências e a capacidade necessárias para manter produtos seguros?