To je stalen proces z zapisi, ne občasno skeniranje. Zapis o posamezni ranljivosti je dokazilo.
Zahteve
| Točka dela II | Kaj mora proizvajalec storiti | Dokazila |
|---|---|---|
| (1) | Opredeliti in dokumentirati ranljivosti in sestavne dele, s SBOM | Arhiv SBOM, register ranljivosti |
| (2) | Ranljivosti brez odlašanja obravnavati in odpraviti z varnostnimi posodobitvami. Kjer je tehnično izvedljivo, so varnostne posodobitve ločene od posodobitev funkcionalnosti | Zapisi popravkov in izdaj |
| (3) | Izvajati učinkovita in redna preverjanja in preglede | Poročila o testih in pregledih |
| (4) | Po razpoložljivosti posodobitve objaviti informacije o odpravljenih ranljivostih: opis, prizadeti izdelek, vpliv, resnost in nasveti za odpravo | Obvestila |
| (5) | Vzpostaviti in izvrševati politiko usklajenega razkritja ranljivosti | Objavljena politika |
| (6) | Lajšati izmenjavo informacij, vključno s kontaktnim naslovom | security.txt, kontaktna stran |
| (7) | Zagotoviti mehanizme za varno razširjanje posodobitev, kjer je ustrezno samodejno | Arhitektura posodobitev |
| (8) | Posodobitve razširjati brez odlašanja in brezplačno, z nasveti za uporabnike | Opombe ob izdaji |
Člen 13(6) dodaja, da mora proizvajalec, ko najde ranljivost v sestavnem delu, vključno z odprtokodnim, o njej poročati tistemu, ki sestavni del vzdržuje, in po potrebi deliti kodo ali dokumentacijo popravka. Člen 13(8) zahteva, da obravnava traja za obdobje podpore.
Popraviti ranljivost, ne da bi objavili informacije iz dela II(4). Razkritje odpravljenih ranljivosti je zahteva, razen če velja ustrezno utemeljena odložitev zaradi varnosti uporabnikov.
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- Usklajeno razkritje ranljivosti po CRA
- VEX in CRA: dokumentiranje izrabljivosti
- Obdobje podpore po CRA, razloženo
- Obveznosti poročanja po CRA: 24 ur, 72 ur in končno poročilo
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.