I PRIEDAS ESMINIAI KIBERNETINIO SAUGUMO REIKALAVIMAI

jie tiekiami rinkai be jokio žinomo pažeidžiamumo, kurį būtų galima išnaudoti;

jie tiekiami rinkai su saugia numatytąja konfigūracija, išskyrus atvejus, jei produktą su skaitmeniniais elementais gaminant pagal užsakymą gamintojas ir verslo klientas susitaria kitaip, įskaitant galimybę atkurti pradinę gaminio būseną;

užtikrinama, kad pažeidžiamumą būtų galima pašalinti saugumo naujiniais, įskaitant, kai taikytina, automatinius saugumo naujinius, diegiamus per tinkamą laikotarpį, taikant numatytąjį nustatymą, su aiškiu ir lengvai naudojamu atsisakymo mechanizmu, pranešant naudotojams apie esamus naujinius ir numatant galimybę juos laikinai atidėti;

juose užtikrinama apsauga nuo neteisėtos prieigos atitinkamais kontrolės mechanizmais, įskaitant atpažinimo, tapatybės ar prieigos valdymo sistemas ir pranešimus apie galimą neteisėtą prieigą, bet jomis neapsiribojant;

juose užtikrinamas saugomų, perduodamų ar kitaip apdorojamų asmens ar kitų duomenų konfidencialumas, pavyzdžiui, užšifruojant atitinkamus duomenis pažangiausiomis priemonėmis, kai šie duomenys saugomi arba perduodami, taip pat naudojant kitas technines priemones;

juose užtikrinama saugomų, perduodamų ar kitaip tvarkomų asmens ar kitų duomenų, komandų, programų ir konfigūracijos vientisumo apsauga nuo bet kokių manipuliacijų ar pakeitimų, kurioms naudotojas nesuteikė leidimo, ir pranešama apie pažeidimus;

juose tvarkomi tik tie asmens ar kiti duomenys, kurie yra tinkami, svarbūs ir apsiriboja tik tuo, kas būtina pagal produkto su skaitmeniniais elementais naudojimo numatomąją paskirtį (duomenų kiekio mažinimas);

juose užtikrinama galimybė naudotis esminėmis ir pagrindinėmis funkcijomis, taip pat po incidento, taikant atsparumo paslaugos trikdymo atakoms ir jų padarinių mažinimo priemones;

kuo labiau sumažinamas pačių produktų arba prijungtųjų įrenginių neigiamas poveikis kitų įrenginių ar tinklų teikiamų paslaugų prieinamumui;

jie projektuojami, kuriami ir gaminami taip, kad būtų apribotos atakos pažeidžiamos sritys, įskaitant išorines sąsajas;

jie projektuojami, kuriami ir gaminami taip, kad būtų sumažintas incidento poveikis, naudojant atitinkamus galimybės išnaudoti pažeidžiamas vietas mažinimo mechanizmus ir metodus;

jie teikia su saugumu susijusią informaciją, įrašant arba stebint atitinkamą vidinę veiklą, įskaitant prieigą prie duomenų, paslaugų ar funkcijų arba jų pakeitimą, suteikiant naudotojui galimybę pasinaudoti atsisakymo mechanizmu;

jie suteikia naudotojams galimybę saugiai ir lengvai visam laikui pašalinti visus duomenis ir nustatymus ir, kai tokius duomenis galima perkelti į kitus produktus ar sistemas, užtikrinti, kad tai būtų daroma saugiai.

nustato ir dokumentuoja produktų su skaitmeniniais elementais pažeidžiamumą ir komponentus, taip pat parengdami programinės įrangos medžiagų žiniaraštį įprastu ir kompiuterio skaitomu formatu, apimantį bent jau produktų aukščiausio lygio priklausomybes;

dėl produktams su skaitmeniniais elementais keliamos rizikos nedelsdami pašalina ir ištaiso pažeidžiamumo veiksnius, taip pat teikdami saugumo naujinius; kai techniškai įmanoma, nauji saugumo naujiniai teikiami atskirai nuo funkcijų naujinių;

taiko veiksmingus ir reguliarius produkto su skaitmeniniais elementais saugumo bandymus ir peržiūras;

kai tik saugumo naujinys tampa prieinamas, dalinasi ir viešai atskleidžia informaciją apie pašalintus pažeidžiamumo veiksnius, taip pat pateikdami pažeidžiamumo aprašymą, informaciją, leidžiančią naudotojams identifikuoti paveiktą produktą su skaitmeniniais elementais, pažeidžiamumo poveikį, jo sunkumą ir informaciją, padedančią naudotojams pašalinti pažeidžiamumo priežastis; tinkamai pagrįstais atvejais, kai gamintojai mano, kad paskelbimo saugumo rizika nusveria saugumo naudą, jie gali atidėti viešą informacijos apie pašalintą pažeidžiamumo veiksnį paskelbimą tol, kol naudotojams bus suteikta galimybė taikyti atitinkamą pataisą;

taiko koordinuoto pažeidžiamumo atskleidimo politiką ir užtikrina jos vykdymą;

imasi priemonių, kad palengvintų keitimąsi informacija apie galimą jų produkto su skaitmeniniais elementais ir tame produkte esančių trečiųjų šalių komponentų pažeidžiamumą, taip pat nurodydami kontaktinį adresą pranešimams apie produkte su skaitmeniniais elementais aptiktus pažeidžiamumo veiksnius;

numato produktų su skaitmeniniais elementais saugumo naujinių saugaus platinimo mechanizmus, siekiant užtikrinti, kad pažeidžiamumas būtų laiku ir, jei įmanoma naudojant saugumo naujinius, automatiškai ištaisytas arba būtų sumažintas jo poveikis;

užtikrina, kad atsiradus saugumo naujiniams, skirtiems nustatytoms saugumo problemoms spręsti, jie būtų nedelsiant ir, jeigu produktą su skaitmeniniais elementais gaminant pagal užsakymą gamintojas ir verslo klientas nesusitarė kitaip, nemokamai išplatinti kartu su patariamosiomis žinutėmis, suteikiančiomis naudotojams atitinkamą informaciją, įskaitant informaciją apie veiksmus, kurių gali reikėti imtis.