사이버 복원력법 준수 체크리스트: CRA 준비 점수

• 실제로 악용되는 취약점: 단일 보고 플랫폼을 통해 24시간 이내 조기 경보, 72시간 이내 통보, 수정 조치가 가능해진 후 14일 이내 최종 보고서 (Article 14(1), (2))답하지 않음완료일부 완료시작 안 함
• 제품의 보안에 영향을 주는 중대한 사고: 24시간 이내 조기 경보, 72시간 이내 통보, 통보 후 1개월 이내 최종 보고서 (Article 14(3) to (5))답하지 않음완료일부 완료시작 안 함
• 어느 CSIRT 조정자가 통보를 받는지 알고 있음: EU 내 주된 사업장이 있는 회원국, 없으면 제14조 제7항의 순서 (Article 14(7))답하지 않음완료일부 완료시작 안 함
• 영향을 받는 사용자, 그리고 적절한 경우 모든 사용자에게 취약점이나 사고와 취할 수 있는 조치를 알림 (Article 14(8))답하지 않음완료일부 완료시작 안 함

사이버보안 위험 평가가 그렇게 보여 주고, 그 근거가 기술 문서에 있는 경우에만 해당 없음입니다(제13조 제4항).

• 위험에 적합한 보안 (Annex I, Part I(1))답하지 않음완료일부 완료시작 안 함
• 알려진 악용 가능한 취약점 없음 (Annex I, Part I(2)(a))답하지 않음완료일부 완료시작 안 함해당 없음
• 기본 보안 설정과 초기화 기능 (Annex I, Part I(2)(b))답하지 않음완료일부 완료시작 안 함해당 없음
• 보안 업데이트, 기본 자동 (Annex I, Part I(2)(c))답하지 않음완료일부 완료시작 안 함해당 없음
• 무단 접근으로부터 보호 (Annex I, Part I(2)(d))답하지 않음완료일부 완료시작 안 함해당 없음
• 데이터의 기밀성 (Annex I, Part I(2)(e))답하지 않음완료일부 완료시작 안 함해당 없음
• 데이터, 명령, 설정의 무결성 (Annex I, Part I(2)(f))답하지 않음완료일부 완료시작 안 함해당 없음
• 데이터 최소화 (Annex I, Part I(2)(g))답하지 않음완료일부 완료시작 안 함해당 없음
• 핵심 기능의 가용성 (Annex I, Part I(2)(h))답하지 않음완료일부 완료시작 안 함해당 없음
• 다른 기기와 네트워크에 미치는 영향 제한 (Annex I, Part I(2)(i))답하지 않음완료일부 완료시작 안 함해당 없음
• 공격 표면 제한 (Annex I, Part I(2)(j))답하지 않음완료일부 완료시작 안 함해당 없음
• 악용 완화 (Annex I, Part I(2)(k))답하지 않음완료일부 완료시작 안 함해당 없음
• 보안 로그와 모니터링, 거부 선택 가능 (Annex I, Part I(2)(l))답하지 않음완료일부 완료시작 안 함해당 없음
• 모든 데이터와 설정의 안전한 삭제 (Annex I, Part I(2)(m))답하지 않음완료일부 완료시작 안 함해당 없음

• 취약점과 구성 요소를 식별하고 문서화하며, 최소한 최상위 의존성을 다루는 소프트웨어 자재 명세서(SBOM) 작성 (Annex I, Part II(1))답하지 않음완료일부 완료시작 안 함
• 보안 업데이트로 취약점을 지체 없이 처리하고 해결하며, 기술적으로 가능하면 기능 업데이트와 분리 (Annex I, Part II(2))답하지 않음완료일부 완료시작 안 함
• 제품 보안에 대한 효과적이고 정기적인 시험과 검토 (Annex I, Part II(3))답하지 않음완료일부 완료시작 안 함
• 보안 업데이트가 제공되면 수정된 취약점을 공개 (Annex I, Part II(4))답하지 않음완료일부 완료시작 안 함
• 조정된 취약점 공개 정책을 마련하고 시행 (Annex I, Part II(5))답하지 않음완료일부 완료시작 안 함
• 취약점 신고용 연락 주소와, 제3자 구성 요소를 포함해 취약점 정보를 공유하는 조치 (Annex I, Part II(6))답하지 않음완료일부 완료시작 안 함
• 업데이트를 안전하게 배포하며, 보안 업데이트는 해당하는 경우 자동으로 (Annex I, Part II(7))답하지 않음완료일부 완료시작 안 함
• 보안 업데이트를 지체 없이 무료로 배포(맞춤 제품에 대해 기업 사용자와 달리 합의한 경우 제외), 안내 메시지 포함 (Annex I, Part II(8))답하지 않음완료일부 완료시작 안 함

• 사이버보안 위험 평가를 수행하고 문서화하며, 지원 기간 동안 갱신하고 기술 문서에 포함 (Article 13(2) to (4))답하지 않음완료일부 완료시작 안 함
• 제3자 및 오픈소스 구성 요소에 대한 실사, 그 안에서 발견된 취약점을 유지 관리자에게 보고 (Article 13(5), (6))답하지 않음완료일부 완료시작 안 함
• 제품의 예상 사용 기간에 따라 지원 기간 설정: 예상 사용 기간이 더 짧지 않다면 최소 5년 (Article 13(8))답하지 않음완료일부 완료시작 안 함
• 각 보안 업데이트를 배포 후 최소 10년, 또는 지원 기간의 남은 기간이 더 길면 그동안 계속 제공 (Article 13(9))답하지 않음완료일부 완료시작 안 함
• 지원 기간 종료일을 최소한 월과 연도로 구매 시점에 명확히 표시 (Article 13(19))답하지 않음완료일부 완료시작 안 함
• 제품에, 불가능하면 포장이나 동봉 문서에 형식, 배치 또는 일련번호 (Article 13(15))답하지 않음완료일부 완료시작 안 함
• 제품, 포장 또는 동봉 문서에 이름, 우편 주소와 이메일 또는 기타 디지털 연락처, 그리고 사용자용 단일 연락 창구 (Article 13(16), (17))답하지 않음완료일부 완료시작 안 함
• 제품과 함께 사용자 정보와 설명서(부속서 II), 최소 10년 또는 지원 기간이 더 길면 그동안 제공 (Article 13(18), Annex II)답하지 않음완료일부 완료시작 안 함
• 제품을 시장에 출시하기 전에 기술 문서(부속서 VII) 작성 (Article 13(12), Article 31, Annex VII)답하지 않음완료일부 완료시작 안 함
• 적합성 평가 절차를 선택하고 수행(제32조). 중요 제품과 핵심 제품은 선택할 수 있는 절차가 적음 (Article 13(12), Article 32)답하지 않음완료일부 완료시작 안 함
• EU 적합성 선언서를 작성하고 CE 마킹 부착, 사본이나 간이 선언서를 제품과 함께 제공 (Article 13(12), (20), Articles 28 and 30)답하지 않음완료일부 완료시작 안 함
• 기술 문서와 선언서를 제품 출시 후 최소 10년, 또는 지원 기간이 더 길면 그동안 보관 (Article 13(13))답하지 않음완료일부 완료시작 안 함