Os produtos devem atender a 13 diretrizes
De acordo com o CRA, todos os produtos com um componente de software deverão atender a 13 diretrizes. Eles cobrem uma série de requisitos sobre como lidar com quaisquer dados criados durante o uso, como esses dados são mantidos privados e sobre a segurança do próprio software. O produto em si deve ser resiliente e com serviço de ataque limitado. Isso inclui práticas recomendadas padrão, como garantir que a configuração padrão de qualquer produto seja segura, que o acesso não autorizado não seja possível e que os dados sejam mantidos com segurança. Mais importante ainda, o software implementado em qualquer dispositivo deve ser capaz de ser atualizado para uma versão mais segura.
As regras também abrangem os dados em si e como eles podem ser gerenciados ao longo do tempo. Por exemplo, se o cliente quiser excluir seus dados de um dispositivo, ele deverá poder fazê-lo. Da mesma forma, eles devem ser capazes de copiar ou mover seus dados para fora do produto, em vez de ficarem presos a esse serviço. As empresas também são incentivadas a evitar a captura de dados de que não precisam para fornecer o serviço. O maior obstáculo para as equipes de software é que seus produtos sejam lançados sem nenhuma vulnerabilidade conhecida. Embora possa haver algo com defeito no produto e descoberto posteriormente, uma lista de materiais de software limpa será essencial.
Quais fornecedores de software são responsáveis
A lista de materiais de software, ou SBOM, é uma lista de todos os componentes e bibliotecas de códigos dos quais um aplicativo depende para funcionar. Para o regulador, essa lista comprovará que você verificou tudo o que está em vigor e se está seguro no momento da liberação.
