欧盟《网络韧性法案》(CRA) 是一项于 2024 年 12 月正式生效的网络安全法规，为含数字元素的产品设定全新市场准入标准。对设备制造商、软件供应商和系统集成商而言，信号已经非常明确：安全不再是锦上添花，而是对产品及流程的硬性要求。企业需通过可验证的方式证明自身安全保障能力，覆盖产品设计、开发、运行和漏洞管理全流程。
聚焦两大核心要求：安全始于设计与漏洞处理
CRA 针对各类含数字元素的产品，旨在全面提升整个市场的网络韧性。该法案围绕技术要求、制造商责任、事件报告、更新义务等各方面作出明确规定。简言之，合规现已成为持续性工程要求，而非一次性审核。可验证的安全能力有助于企业降低风险、规避处罚，同时建立市场差异化优势、赢得客户信任。两大维度尤为重要：
1. 不止加密和密码：基于“安全始于设计”理念的安全工程
遵循“安全始于设计”理念并非简单地添加几个安全选项到功能清单，其核心在于将安全决策置于开发前端，即需求和架构阶段，并将安全管控机制融入整个开发生命周期内。CRA 附件一第 1 部分列出的多项要求与这一理念契合，包括：
- 无已知可利用漏洞（附件一第 1 部分第 2(a) 条）：产品在发布前不得存在可被利用的已知安全漏洞。这要求制造商把漏洞扫描、修复和验证整合到生产过程中。
- 安全默认设置和安全配置（附件一第 1 部分第 2(b) 条）：产品在发布时必须默认安全特性，且能够恢复至初始状态。因此，产品在出厂时不得处于弱加密或启用高风险服务的状态。
- 访问控制和防止未授权访问（附件一第 1 部分第 2(d) 条）：执行适当的控制机制，包括身份认证、访问和身份验证管理、未授权访问报告等。
- 数据保密性保护（附件一第 1 部分第 2(e) 条）：对静态和传输中的数据，采用最先进的保护机制，例如现代密码学及相关技术。
- 数据和命令完整性保护（附件一第 1 部分第 2(f) 条）：保护数据、命令、代码和配置免遭未授权修改，并能够报告篡改情况。
- 按目的进行数据最小化（附件一第 1 部分第 2(g) 条）：仅处理对产品功能必要且相关的数据。
基于上述条款，安全要求从聚焦“达到什么”的结果导向转为“如何实现”的过程导向。除开发特定安全功能外，企业还需提供工程证据，证明在整个功能生命周期内，设计、执行、测试、运行和可追溯性均符合要求。
2. 漏洞处理不仅是补丁修复，更是端到端的责任链条
漏洞处理实际上是持续性循环过程，包括接收、分析、修复、通知、更新发布等环节，且应与事件报告保持同步。CRA 附件一第 2 部分“漏洞处理要求”已作出相关规定，要点如下：
- 漏洞识别和组件可视性（附件一第 2 部分第 1 条）：制造商须识别和记录漏洞及组件，并以机器可读的通用格式提供软件物料清单 (SBOM)。
- 制定和实施协调漏洞披露 (CVD) 政策（附件一第 2 部分第 5 条）：制造商须执行公开漏洞披露政策，并建立相关协调披露机制。
- 提供漏洞报告联系渠道（附件一第 2 部分第 6 条）：采取措施促进共享含数字元素的产品及第三方组件的潜在漏洞信息，包括公布漏洞报告联系方式。
- 更新发布的及时性和透明度（附件一第 2 部分第 8 条）：针对已发现的安全问题，应迅速发布安全更新，并提供必要的用户通知和操作指南。
在实际操作中，这意味着要建立标准化接收渠道、分类和修复时间线、回归测试流程和安全分发机制，同时持续向客户发送通知和建议。此外，漏洞管理需覆盖整个供应链，确保第三方和开源组件符合修复要求并提供完成证明，以防止单点故障发生。
供应商升级：如何将流程、证据和供应链治理转化为市场信任
CRA 根本宗旨是推动供应商整体提升，而不仅是打造更安全的产品。为此，企业需求：
- 建立全方位安全开发生命周期 (SDL)，将安全控制措施纳入整个产品生命周期，包括基于法规条款进行要求制定，开展威胁建模、代码分析、渗透测试以及更新管理。确保可追踪证据符合附件一第 1 部分要求。
- 根据附件一第 2 部分内容，构建端到端漏洞管理流程，涵盖接收、修复、通知、更新发布等环节，保证漏洞和事件处理的及时性、透明度和一致性。
- 实施供应链治理，维护软件物料清单，开展依赖风险分析，执行协调漏洞披露政策，确保第三方组件不会出现合规断点。
- 针对安全公告、支持指南和版本生命周期（包含维护结束），制定明晰的政策并保留可追溯的记录，持续优化客户沟通策略，将技术实力转化为真正的信任。
将安全转变为工程能力，而非合规任务清单
对设备制造商而言，关键是要在安全开发生命周期和漏洞管控中落实好 CRA 条款，同时保留好可追溯的记录。因此，安全从被动的合规任务，转变为可持续、可衡量、可证明的竞争优势。
系统集成商应通过工程实践和证据来评估供应商的安全性，而不是仅仅依赖声明或清单。只有与那些将安全视为核心工程原则的供应商合作，关键系统才能长期保持韧性和可靠性。
请访问 Moxa 微网站，进一步了解我们的 CRA 承诺。