Tema: vulnerability-management
-
Preparar o fluxo de tratamento de vulnerabilidades de um fabricante para o CRA: recebimento, evidências e contagem dos prazos de notificação
Um protocolo de preparação proposto conecta o recebimento de relatos de vulnerabilidades e os registros de componentes à decisão de notificar segundo o CRA. Ele separa a obrigação de notificação já aplicável em 2026 dos requisitos mais amplos de tratamento de vulnerabilidades aplicáveis em dezembro de 2027.
-
Notificações do CRA desde setembro de 2026: critérios, prazos e a Single Reporting Platform
O CRA exige que fabricantes notifiquem vulnerabilidades de produtos exploradas ativamente e incidentes graves de segurança de produtos. Ambos têm etapas de 24 horas e 72 horas, mas os prazos dos relatórios finais são contados a partir de eventos diferentes.
-
Confirmar que um patch de segurança foi realmente aplicado: comparar versões instaladas com os avisos do fabricante em várias famílias de SO
Um job de atualização que reporta sucesso não prova que uma vulnerabilidade específica foi corrigida. O que fecha o ciclo é comparar a versão instalada do pacote ou da build com o aviso do próprio fabricante: Ubuntu USN, um aviso da família RHEL (RHSA no RHEL) via dnf updateinfo --security, Debian DSA via debsecan, Windows Get-HotFix ou o número de build do macOS com a página de versões de segurança da própria Apple. Mesmo depois dessa verificação, uma reinicialização pendente pode deixar o binário antigo e vulnerável em execução.
-
Notificação de ciberataques na Suíça e CRA: obrigações distintas para operadores e fabricantes de produtos
A notificação suíça para infraestrutura crítica diz respeito a ciberataques que atendem aos critérios legais contra operadores abrangidos. O CRA diz respeito a fabricantes de produtos que abastecem o mercado da UE, incluindo fabricantes suíços; prazos iniciais semelhantes não tornam os destinatários nem os critérios de notificação intercambiáveis.
-
CRA e código aberto: distinguir colaboradores, fabricantes e administradores
Uma licença de código aberto, por si só, não determina as obrigações do CRA. O regulamento distingue o fornecimento comercial de produtos, as contribuições para software fora da responsabilidade de quem contribui e o apoio contínuo de administradores de software de código aberto, cujas obrigações do artigo 24 começam em dezembro de 2027.
Legível por máquina: JSON