Dwa testy, których nie wolno mieszać
Najpierw ustal, czy zmiana po wprowadzeniu produktu do obrotu wpływa na zgodność z zasadniczymi wymaganiami cyberbezpieczeństwa albo modyfikuje intended purpose. Dopiero później oceń skutek rynkowy: kto i w jaki sposób ponownie udostępnia zmodyfikowany produkt.
Czy zmiana jest substantial?
Porównaj przeznaczenie, architekturę, nowe wektory zagrożeń, scenariusze ataku, prawdopodobieństwo i wpływ z pierwotnym risk assessment.
Kto udostępnia produkt?
Osoba trzecia dokonująca substantial modification i udostępniająca produkt może zostać producentem zmodyfikowanego produktu.
Cztery czynniki oceny profilu ryzyka
- Nowe threat vectors: nowe interfejsy, zależności, protokoły albo przepływy danych.
- Nowe attack scenarios: również kombinacja wcześniej znanych elementów w nowym kontekście.
- Zmiana likelihood: łatwiejsze wykorzystanie, szersza ekspozycja lub słabsza kontrola.
- Zmiana impact: większa szkoda dla poufności, integralności, dostępności lub użytkownika.
Jeżeli wszystkie cztery odpowiedzi są negatywne, przeznaczenie się nie zmienia, a założenia i mitigations pierwotnej oceny pozostają skuteczne, zmiana może nie być substantial. Uzasadnienie powinno jednak znaleźć się w change record i dokumentacji technicznej.
Zakres ponownej oceny
Substantial modification nie zawsze oznacza automatyczne powtórzenie każdej czynności dla całego produktu. Jeżeli wpływ jest rzeczywiście ograniczony do zmienionego modułu i nie wpływa na bezpieczeństwo całości, możliwe jest oparcie się na istniejących dowodach dla części niezmienionych. Granica musi wynikać z architektury, threat modelu i testów, a nie tylko z deklaracji zespołu.
Najczęstsze pytania
Czy każda zmiana kodu jest substantial modification?
Nie. Liczy się wpływ zmiany po placing on the market na zgodność z Annex I Part I albo na zamierzone przeznaczenie produktu. Wielkość commita czy koszt projektu nie są samodzielnym testem.
Czy aktualizacja bezpieczeństwa jest substantial modification?
Poprawka, która wyłącznie redukuje wcześniej ocenione ryzyko, zwykle nie będzie substantial. Ocena zmienia się, gdy aktualizacja dodaje funkcję, interfejs, zależność lub nowe ryzyko poza dotychczasowym risk assessment.
Czy modyfikujący produkt innej firmy staje się producentem?
Może tak być, jeżeli dokonuje substantial modification i następnie udostępnia zmodyfikowany produkt na rynku. Konsekwencje zależą także od wpływu zmiany na część produktu lub całość.
Czy można wykorzystać dokumentację pierwotnego producenta?
Guidance dopuszcza ponowne wykorzystanie właściwych testów i dokumentacji dla części nieobjętych zmianą, jeżeli zmiana nie wpływa na cyberbezpieczeństwo całego produktu. Trzeba udokumentować tę granicę.
Oficjalne źródła
Reguły narzędzia opierają się na źródłach pierwotnych. Materiały guidance są niewiążące i nie zastępują oceny konkretnego przypadku ani aktualnego tekstu prawa.