Autoevaluarea maturității în raport cu CRA

1.1Dispuneți de politici de securitate a produselor, scrise și aprobate?

1.2Rolurile și responsabilitățile pentru activitățile de securitate a produselor (de exemplu, dezvoltare, gestionarea vulnerabilităților, actualizări) sunt clar definite?

1.3Mențineți documentație tehnică la nivel de produs care descrie funcțiile de securitate implementate, evaluările riscurilor, deciziile de proiectare și procedurile de actualizare?

1.4Există un proces de revizuire periodică a securității produsului și a calității documentației aferente?

1.5Cunoașteți autoritatea de supraveghere a pieței responsabilă cu asigurarea respectării CRA, procedura de evaluare a conformității aplicabilă produselor dumneavoastră și modul de interacțiune cu autoritățile relevante, dacă este necesar?

2.1Efectuați evaluări ale riscurilor de securitate cibernetică și utilizați rezultatele pentru a orienta deciziile privind proiectarea, dezvoltarea, configurarea produsului și gestionarea componentelor?

2.2Produsele sunt proiectate încă de la început pe baza principiilor de securitate din faza de proiectare?

2.3Produsele sunt livrate cu configurații și setări securizate implicit?

2.4Efectuați verificări și teste de securitate înainte de lansarea sau actualizarea unui produs și în ce măsură sunt utilizate instrumente automatizate?

2.5Atunci când riscurile se modifică sau apar noi amenințări, sunt revizuite și actualizate evaluările riscurilor, configurațiile și componentele provenite de la terți?

3.1Dispuneți de un proces pentru a primi, confirma, înregistra și urmări vulnerabilitățile raportate de clienți, cercetători sau personal intern?

3.2Dispuneți de un proces definit pentru crearea, testarea, livrarea și comunicarea actualizărilor de securitate către clienți, pentru produsele care beneficiază de asistență?

3.3Mențineți și utilizați un SBOM pentru a sprijini gestionarea vulnerabilităților și a dependențelor?

3.4Vulnerabilitățile și actualizările sunt prioritizate în funcție de risc și de impactul potențial?

3.5Verificați dacă actualizările de securitate remediază efectiv vulnerabilitățile raportate și păstrați dovezi ale acestei verificări?

4.1Există o abordare definită pentru gestionarea securității produsului pe parcursul fazei operaționale?

4.2Ciclul de viață al produsului este gestionat activ, inclusiv prin perioade de asistență definite, responsabilități privind actualizările, aranjamente de sfârșit de viață și comunicare cu clienții?

4.3Experiența acumulată din funcționarea produsului, evaluările ulterioare incidentelor și contribuțiile clienților sunt utilizate pentru a îmbunătăți produsele în timp?

4.4Există o modalitate structurată și testată de a soluționa problemele de securitate identificate la nivelul produsului?

4.5Produsele sunt monitorizate în timpul funcționării pentru a identifica riscurile de securitate, vulnerabilitățile și amenințările emergente?

5.1Sunt disponibile competențe suficiente pentru a proiecta, dezvolta și întreține produsele în condiții de securitate, inclusiv prin expertiză externă atunci când capacitatea internă este limitată?

5.2Personalul relevant beneficiază de formare adecvată privind practicile de securitate cibernetică relevante pentru rolul său, inclusiv gestionarea riscurilor produsului, gestionarea vulnerabilităților și securitatea din faza de proiectare?

5.3Organizația promovează o cultură a dezvoltării responsabile a produselor, a raportării deschise și a conștientizării riscurilor asociate produselor?

5.4Urmăriți informațiile externe relevante privind securitatea produselor (de exemplu, avize, alerte)?

5.5Evaluați și confirmați faptul că echipa dumneavoastră dispune de competențele și cunoștințele necesare pentru a menține securitatea produselor?