Les produits doivent répondre à 13 directives
En vertu de la CRA, tous les produits comportant un composant logiciel devront respecter 13 lignes directrices. Celles-ci couvrent une série d’exigences sur la manière dont ils traitent les données créées lors de leur utilisation, sur la manière dont ces données restent confidentielles et sur la sécurité du logiciel lui-même. Le produit lui-même doit être résilient et offrir un service d’attaque limité. Cela inclut les meilleures pratiques standard, comme garantir que la configuration par défaut de tout produit est sécurisée, qu’aucun accès non autorisé n’est possible et que les données sont conservées en toute sécurité. Plus important encore, le logiciel implémenté sur n’importe quel appareil doit pouvoir être mis à jour vers une version plus sécurisée.
Les règles couvrent également les données elles-mêmes et la manière dont elles peuvent être gérées au fil du temps. Par exemple, si le client souhaite supprimer ses données d’un appareil, il devrait pouvoir le faire. De même, ils devraient pouvoir copier ou déplacer leurs données hors du produit, plutôt que d’être enfermés dans ce service. Les entreprises sont également encouragées à éviter de capturer des données dont elles n’ont pas besoin pour fournir le service. Le plus grand obstacle pour les équipes logicielles est que leurs produits doivent être lancés sans aucune vulnérabilité connue. Même s’il peut y avoir quelque chose dans le produit qui est défectueux et découvert plus tard, une nomenclature logicielle propre sera essentielle.
De quoi les fournisseurs de logiciels sont responsables
La nomenclature logicielle, ou SBOM, est une liste de tous les composants et bibliothèques de codes sur lesquels une application s’appuie pour fonctionner. Pour le régulateur, cette liste prouvera que vous avez vérifié tout ce qui est en place et si tout est sécurisé au moment de la publication.
