Cyberbezpieczeństwo produktów
Prodel projektuje i produkuje urządzenia elektroniczne, które nasi klienci wprowadzają na rynek pod własnymi markami. Bezpieczeństwo traktujemy jako część projektu, od pierwszego schematu po aktualizacje w całym okresie użytkowania urządzenia.
Wspieramy klientów w spełnieniu wymagań Rozporządzenia (UE) 2024/2847 o cyberodporności (Cyber Resilience Act, CRA). Na tej stronie znajdziesz informacje, jak zgłosić podatność, jak ją obsługujemy i jak pomagamy producentom w zgodności z CRA.
zgłaszanie podatności
Jeśli znalazłeś podatność w urządzeniu, firmware lub oprogramowaniu zaprojektowanym przez Prodel, napisz na cybersecurity@prodel.com.pl. Zgłoszenia przyjmujemy po polsku i angielsku.
Jeśli urządzenie jest sprzedawane pod inną marką, możesz zgłosić podatność bezpośrednio jej producentowi lub nam. Gdy zgłoszenie trafi do nas, niezwłocznie przekażemy je producentowi i będziemy z nim współpracować nad poprawką.
Co warto podać w zgłoszeniu:
- nazwę i model urządzenia oraz wersję firmware lub oprogramowania,
- opis podatności i jej możliwych skutków,
- kroki pozwalające ją odtworzyć (proof of concept, logi, zrzuty ekranu),
- informację, czy podatność jest już wykorzystywana lub znana publicznie,
polityka ujawniania podatności (CVD)
Każde zgłoszenie obsługujemy we współpracy ze zgłaszającym i z producentem urządzenia, a szczegóły publikujemy dopiero po udostępnieniu poprawki.
Zakres. Polityka obejmuje sprzęt, firmware i oprogramowanie zaprojektowane przez Prodel, także w urządzeniach sprzedawanych pod markami naszych klientów. Nie obejmuje infrastruktury IT Prodel ani usług osób trzecich.
Jak postępujemy.
- Potwierdzamy otrzymanie zgłoszenia i nadajemy mu numer.
- Weryfikujemy podatność i oceniamy jej wagę (CVSS).
- Niezwłocznie informujemy producenta, którego urządzenia dotyczy problem. Jeśli podatność jest aktywnie wykorzystywana, robimy to w ciągu kilku godzin, bo producent ma 24 godziny na zgłoszenie jej do CSIRT i ENISA.
- Przygotowujemy poprawkę razem z producentem i informujemy zgłaszającego o postępach.
- Po udostępnieniu poprawki producent publikuje komunikat dla użytkowników, a w razie potrzeby wnioskujemy o numer CVE.
Termin ujawnienia. Prosimy o niepublikowanie szczegółów przed udostępnieniem poprawki, nie dłużej niż 90 dni od zgłoszenia. Termin możemy wspólnie skrócić lub wydłużyć, jeśli wymaga tego sytuacja.
Działanie w dobrej wierze. Nie podejmiemy kroków prawnych wobec osób, które zgłaszają podatności w dobrej wierze i zgodnie z tą polityką. Prosimy, aby:
- testować wyłącznie na własnych urządzeniach,
- nie uzyskiwać dostępu do danych innych osób i ich nie modyfikować,
- nie zakłócać działania usług ani urządzeń innych użytkowników.
wsparcie klientów w zgodności z CRA
Od 11 grudnia 2027 każde urządzenie z elementami cyfrowymi wprowadzane na rynek UE musi spełniać zasadnicze wymagania cyberbezpieczeństwa CRA. Projektujemy urządzenia tak, aby producent mógł to wykazać, i wspieramy go przez cały okres wsparcia produktu.
| Wymaganie CRA | Co zapewnia Prodel |
|---|---|
| Bezpieczeństwo od etapu projektu (zał. I cz. I, art. 13 ust. 2) | Analiza ryzyka cyberbezpieczeństwa, bezpieczna konfiguracja domyślna, secure boot, szyfrowanie danych i komunikacji, ograniczenie powierzchni ataku |
| Wykaz komponentów SBOM (zał. I cz. II pkt 1) | SBOM w formacie SPDX lub CycloneDX dla każdej wersji firmware |
| Obsługa podatności (zał. I cz. II pkt 2–3) | Stałe monitorowanie podatności w komponentach, testy bezpieczeństwa i testy penetracyjne |
| Bezpieczne aktualizacje (zał. I cz. II pkt 7–8) | Podpisane aktualizacje, mechanizm aktualizacji zdalnych (OTA), możliwość aktualizacji automatycznych |
| Zgłaszanie podatności i incydentów (art. 14) | Powiadomienie producenta niezwłocznie, a przy aktywnie wykorzystywanej podatności w ciągu kilku godzin; dane do zgłoszeń 24 h, 72 h i raportu końcowego |
| Dokumentacja techniczna (zał. VII) | Materiały do dokumentacji technicznej i oceny zgodności, wsparcie w kontaktach z jednostką notyfikowaną |
| Okres wsparcia (art. 13 ust. 8) | Poprawki bezpieczeństwa przez cały okres wsparcia zadeklarowany przez producenta (co najmniej 5 lat, chyba że produkt jest przeznaczony do krótszego użytkowania) |
Normy, na których się opieramy: EN 18031 (urządzenia radiowe), ETSI EN 303 645 (urządzenia IoT), IEC 62443-4-1 i 4-2 (bezpieczny cykl rozwoju i komponenty przemysłowe)
FAQ
To rozporządzenie UE 2024/2847, które określa wymagania cyberbezpieczeństwa dla produktów z elementami cyfrowymi: urządzeń i oprogramowania, które łączą się z innymi urządzeniami lub siecią. Obowiązek zgłaszania podatności obowiązuje od 11 września 2026, a pełne wymagania od 11 grudnia 2027.
Producentem w rozumieniu CRA jest firma, która wprowadza produkt na rynek pod własną nazwą lub znakiem towarowym. Odpowiada ona za deklarację zgodności UE, oznakowanie CE, okres wsparcia i zgłoszenia do ENISA. Prodel dostarcza technologię, dokumentację i obsługę podatności, które są do tego potrzebne.
Tak, w zakresie zgłaszania podatności i incydentów: ten obowiązek obejmuje także produkty wprowadzone na rynek przed 11 grudnia 2027. Pozostałe wymagania dotyczą produktów wprowadzanych od tej daty.
Tak, przekazujemy SBOM dla każdej wersji firmware w ramach dokumentacji technicznej.
Przez cały okres wsparcia, który deklarujesz dla swojego produktu. Zakres i terminy ustalamy w umowie.
Niezwłocznie Cię informujemy i przekazujemy dane potrzebne do zgłoszenia. Razem przygotowujemy poprawkę i komunikat dla użytkowników.
