|
+ΠΑΡΑΡΤΗΜΑ I ΟΥΣΙΩΔΕΙΣ ΑΠΑΙΤΗΣΕΙΣ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ |
ΠΑΡΑΡΤΗΜΑ I ΟΥΣΙΩΔΕΙΣ ΑΠΑΙΤΗΣΕΙΣ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ
ΠΑΡΑΡΤΗΜΑ I ΟΥΣΙΩΔΕΙΣ ΑΠΑΙΤΗΣΕΙΣ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ Μέρος I Απαιτήσεις κυβερνοασφάλειας σχετικά με τις ιδιότητες των προϊόντων με ψηφιακά στοιχεία 1) Τα προϊόντα με ψηφιακά στοιχεία σχεδιάζονται, αναπτύσσονται και παράγονται κατά τρόπο ώστε να εγγυώνται κατάλληλο επίπεδο κυβερνοασφάλειας βάσει των κινδύνων. 2) Με βάση την εκτίμηση κινδύνων κυβερνοασφάλειας που αναφέρεται στο άρθρο 13 παράγραφος 2 και κατά περίπτωση, τα προϊόντα με ψηφιακά στοιχεία:
α)
διατίθενται στην αγορά χωρίς γνωστές εκμεταλλεύσιμες ευπάθειες·
β)
διατίθενται στην αγορά με ασφαλή εξ ορισμού διαμόρφωση, εκτός εάν υπάρχει διαφορετική συμφωνία μεταξύ κατασκευαστή και επιχειρηματικού χρήστη σε σχέση με εξατομικευμένο προϊόν με ψηφιακά στοιχεία, συμπεριλαμβανομένης της δυνατότητας επαναφοράς του προϊόντος στην αρχική του κατάσταση·
γ)
διασφαλίζουν ότι οι ευπάθειες μπορούν να αντιμετωπιστούν μέσω ενημερώσεων ασφαλείας, μεταξύ άλλων, κατά περίπτωση, μέσω αυτόματων ενημερώσεων ασφαλείας που εγκαθίστανται εντός κατάλληλου χρονικού πλαισίου και είναι ενεργοποιημένες ως προεπιλεγμένη ρύθμιση, με σαφή και εύχρηστο μηχανισμό εξαίρεσης, μέσω της κοινοποίησης των διαθέσιμων ενημερώσεων στους χρήστες, και της παροχής δυνατότητας προσωρινής αναβολής·
δ)
διασφαλίζουν την προστασία από μη εξουσιοδοτημένη πρόσβαση με κατάλληλους μηχανισμούς ελέγχου, συμπεριλαμβανομένων, μεταξύ άλλων, συστημάτων επαλήθευσης ταυτότητας, διαχείρισης ταυτότητας ή πρόσβασης, και αναφέρουν κάθε πιθανή μη εξουσιοδοτημένη πρόσβαση·
ε)
προστατεύουν την εμπιστευτικότητα των δεδομένων που αποθηκεύονται, διαβιβάζονται ή υποβάλλονται σε οποιουδήποτε άλλου είδους επεξεργασία, μέσω της κρυπτογράφησης των σχετικών δεδομένων που βρίσκονται σε αδράνεια ή σε κίνηση μέσω μηχανισμών προηγμένης τεχνολογίας και με τη χρήση άλλων τεχνικών μέσων·
στ)
προστατεύουν την ακεραιότητα των δεδομένων που αποθηκεύονται, διαβιβάζονται ή υποβάλλονται σε οποιουδήποτε άλλου είδους επεξεργασία, είτε αυτά είναι προσωπικού χαρακτήρα είτε άλλου είδους, καθώς και εντολών, προγραμμάτων και διαμορφώσεων, από κάθε παραποίηση ή τροποποίηση που δεν έχει την άδεια του χρήστη, και αναφέρουν πιθανές αλλοιώσεις·
ζ)
επεξεργάζονται μόνο δεδομένα, προσωπικού χαρακτήρα ή άλλου είδους, τα οποία είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τον προβλεπόμενο σκοπό του προϊόντος με ψηφιακά στοιχεία (ελαχιστοποίηση των δεδομένων)·
η)
προστατεύουν τη διαθεσιμότητα ουσιωδών και βασικών λειτουργιών, ακόμη και μετά από περιστατικό, μεταξύ άλλων μέσω μέτρων ανθεκτικότητας και μετριασμού έναντι επιθέσεων άρνησης παροχής υπηρεσίας·
θ)
ελαχιστοποιούν τις αρνητικές επιπτώσεις από τα ίδια τα προϊόντα ή από συνδεδεμένες συσκευές στη διαθεσιμότητα των υπηρεσιών που παρέχονται από άλλες συσκευές ή δίκτυα·
ι)
σχεδιάζονται, αναπτύσσονται και παράγονται κατά τρόπο ώστε να περιορίζονται οι επιφάνειες επίθεσης, συμπεριλαμβανομένων των εξωτερικών διεπαφών·
ια)
σχεδιάζονται, αναπτύσσονται και παράγονται με σκοπό τη μείωση των επιπτώσεων ενός συμβάντος με τη χρήση κατάλληλων μηχανισμών και τεχνικών μετριασμού της εκμετάλλευσης·
ιβ)
παρέχουν πληροφορίες σχετικά με την ασφάλεια μέσω της καταγραφής και της παρακολούθησης σχετικών εσωτερικών δραστηριοτήτων, συμπεριλαμβανομένης της πρόσβασης σε δεδομένα, υπηρεσίες ή λειτουργίες ή της τροποποίησής τους, με μηχανισμό εξαίρεσης για τον χρήστη·
ιγ)
παρέχουν στους χρήστες τη δυνατότητα να αφαιρούν με ασφάλεια και ευκολία, σε μόνιμη βάση, όλα τα δεδομένα και τις ρυθμίσεις και, όταν τα εν λόγω δεδομένα μπορούν να μεταφερθούν σε άλλα προϊόντα ή συστήματα, διασφαλίζουν ότι αυτό γίνεται με ασφαλή τρόπο. Μέρος II Απαιτήσεις χειρισμού ευπαθειών Οι κατασκευαστές των προϊόντων με ψηφιακά στοιχεία:
1)
εντοπίζουν και τεκμηριώνουν τις ευπάθειες και τα δομοστοιχεία που περιέχονται στα προϊόντα με ψηφιακά στοιχεία, μεταξύ άλλων με την κατάρτιση καταλόγου υλικών λογισμικού σε ευρέως χρησιμοποιούμενο και μηχαναγνώσιμο μορφότυπο που καλύπτει τουλάχιστον τις σημαντικότερες εξαρτήσεις των προϊόντων·
2)
σε σχέση με τους κινδύνους που παρουσιάζονται για προϊόντα με ψηφιακά στοιχεία, αντιμετωπίζουν και διορθώνουν τις ευπάθειες χωρίς καθυστέρηση, μεταξύ άλλων με την παροχή ενημερώσεων ασφαλείας· όπου είναι τεχνικά εφικτό, παρέχονται νέες ενημερώσεις ασφαλείας χωριστά από τις ενημερώσεις λειτουργικότητας·
3)
εφαρμόζουν αποτελεσματικές και τακτικές δοκιμές και αξιολογήσεις της ασφάλειας του προϊόντος με ψηφιακά στοιχεία·
4)
μόλις καταστεί διαθέσιμη η ενημέρωση ασφαλείας, κοινοποιούν και δημοσιοποιούν πληροφορίες σχετικά με τις διορθωμένες ευπάθειες, οι οποίες περιλαμβάνουν περιγραφή των ευπαθειών, πληροφορίες που επιτρέπουν στους χρήστες να προσδιορίσουν το προϊόν με ψηφιακά στοιχεία που επηρεάζεται, τις επιπτώσεις των ευπαθειών, τη σοβαρότητά τους και σαφείς και προσβάσιμες πληροφορίες που βοηθούν τους χρήστες να άρουν τις ευπάθειες· σε δεόντως αιτιολογημένες περιπτώσεις, όταν οι κατασκευαστές θεωρούν ότι οι κίνδυνοι ασφαλείας που συνεπάγεται η δημοσίευση υπερτερούν των οφελών για την ασφάλεια, μπορούν να καθυστερήσουν τη δημοσιοποίηση πληροφοριών σχετικά με μια διορθωμένη ευπάθεια έως ότου δοθεί στους χρήστες η δυνατότητα να εφαρμόσουν τη σχετική επιδιόρθωση·
5)
θέτουν σε εφαρμογή και επιβάλλουν πολιτική για τη συντονισμένη γνωστοποίηση ευπαθειών·
6)
λαμβάνουν μέτρα για τη διευκόλυνση της ανταλλαγής πληροφοριών σχετικά με πιθανές ευπάθειες στο προϊόν τους με ψηφιακά στοιχεία, καθώς και σε δομοστοιχεία τρίτων που περιέχονται στο εν λόγω προϊόν, μεταξύ άλλων με την παροχή διεύθυνσης επικοινωνίας για την αναφορά των ευπαθειών που εντοπίζονται στο προϊόν με ψηφιακά στοιχεία·
7)
προβλέπουν μηχανισμούς για την ασφαλή διανομή ενημερώσεων για προϊόντα με ψηφιακά στοιχεία, ώστε να διασφαλίζεται ότι οι ευπάθειες διορθώνονται ή μετριάζονται εγκαίρως και, κατά περίπτωση για τις ενημερώσεις ασφαλείας, με αυτόματο τρόπο·
8)
διασφαλίζουν ότι, όταν υπάρχουν ενημερώσεις ασφαλείας για την αντιμετώπιση ζητημάτων ασφάλειας που εντοπίζονται, αυτές διανέμονται χωρίς καθυστέρηση και, εκτός εάν υπάρχει διαφορετική συμφωνία μεταξύ κατασκευαστή και επιχειρηματικού χρήστη σε σχέση με εξατομικευμένο προϊόν με ψηφιακά στοιχεία, δωρεάν, ενώ συνοδεύονται και από συμβουλές που παρέχουν στους χρήστες τις σχετικές πληροφορίες, μεταξύ άλλων σχετικά με τα πιθανά μέτρα που πρέπει να ληφθούν.
1. Επισκόπηση
1.1 Παραπομπές1.2 Εντοπισμένες απαιτήσεις1.3 Σχετικά πρότυπα2. Εντοπισμένες απαιτήσεις
3. Σχετικά πρότυπα
Συνδεδεμένα ζητήματα
|