Bir yazılım tedarikçisi güvenlik açığı duyurduğunda ilk soru çoğu zaman şudur: “Bu bileşen bizim hangi makinelerde var?” Cevap için mühendisliğin sürüm notları, servisin kurulum listesi ve satın almanın tedarikçi kayıtları arasında dolaşmak gerekiyorsa teknik dosyada bağlantılar eksiktir.
CRA teknik dosyası, teslim edilen makinenin güvenlik tasarımını ve bu tasarımın nasıl doğrulandığını göstermelidir. Dosyanın işe yaraması için model, donanım, yazılım sürümü, test ve destek kayıtları aynı ürünü tarif etmelidir. Müşteriye giden sürüm değiştiğinde ilgili kayıtlar da güncellenmelidir.
Dosyayı makinenin kimliğinden açın
Ürün modelini ve kapsadığı yapılandırmaları tanımlayın. Kontrolör, HMI, endüstriyel bilgisayar, yerel uygulamalar ve ürünün işlevi için gereken uzaktaki hizmetleri listeleyin. Bağlantı şemasında kimin hangi arayüze eriştiği görülsün. Müşterinin ağı ile üreticinin servis erişiminin kesiştiği yerler açık olsun.
Sonra model ile teslim edilen cihazı ilişkilendirin. Seri numarası, donanım revizyonu, kurulu yazılım sürümü ve teslim tarihi bu ilişkiyi kurar. Sonradan yapılan servis değişikliklerini de kaydedin. Böylece “bu modelde şu yazılım kullanılır” bilgisinin yanına “bu müşteride şu sürüm kurulu” bilgisi gelir.
Aşağıdaki kayıtları birbirine bağlayın:
| Kayıt | Cevap vermesi gereken soru |
|---|---|
| Ürün tanımı | Hangi işlevler ve yapılandırmalar bu ürünün içinde? |
| Mimari ve veri akışı | Hangi bileşen, hangi arayüz üzerinden kiminle konuşuyor? |
| Siber güvenlik risk değerlendirmesi | Hangi risk için hangi tasarım kararı alındı? |
| Yazılım bileşen listesi | Hangi bileşenin hangi sürümü teslim edildi? |
| Doğrulama kayıtları | Gereklilik hangi kurulumda, hangi sonuçla test edildi? |
| Destek ve güncelleme planı | Düzeltmeyi kim hazırlıyor, müşteriye nasıl ulaştırıyor? |
CRA’nın teknik dokümantasyon hükümleri, ürünün tasarımını ve uygunluğun nasıl değerlendirildiğini kapsar. Bu tablo, ekiplerin o kayıtları güncel ve birbiriyle tutarlı tutması için bir başlangıçtır.
Bir erişim testi, neyi doğruladığını da söylemeli
“Uzaktan bağlantı çalıştı” kaydı yetersizdir. Testte kullanılan sürümü, kullanıcının yetkisini, hedef uygulamayı ve beklenen sonucu belirtin. Servis mühendisi tanı ekranını açabiliyor mu? Aynı kişi yetki verilmemiş başka bir kaynağa ulaşabiliyor mu? Yetkisiz kullanıcı ne görüyor? Müşterinin verdiği erişim kaldırıldığında yeni bağlantı kurulabiliyor mu?
Örnek bir kabul kaydı şöyle olabilir: “Servis grubu, makinenin tanı uygulamasını açtı. Üretim yönetimi uygulamasına erişim verilmedi. Partner izni kaldırıldıktan sonra tanı uygulamasına yeni erişim reddedildi.” Bu cümleyi kullanılan sürüm, tarih ve test sonucu ile saklayın.
Yalnızca başarılı erişimi test etmek, yetki sınırının doğru kurulduğunu göstermez. İzin verilmeyen işlemleri de deneyin. Erişim tasarımı veya ilgili yazılım değiştiğinde hangi testlerin tekrarlanacağını sürüm kontrolüne ekleyin.
Örnek: bir bileşen açığından müşteri düzeltmesine
Kurgusal bir örnekte, tanı uygulamasında kullanılan bir kütüphanenin belirli sürümünde açık duyuruluyor. Mühendislik, makine yazılımının 3.4 sürümündeki bileşen listesine bakıyor. Servis ekibi de 3.4 kurulu seri numaralarını buluyor. Böylece müşterileri tahmin ederek aramak yerine etkilenen kurulumlar üzerinden çalışıyor.
Geliştirici düzeltilmiş sürümü hazırlarken güvenlik sorumlusu açığın üründeki etkisini değerlendiriyor. Doğrulama ekibi düzeltmeyi, erişim kurallarını ve uygulamanın temel işlevlerini test ediyor. Yayın onayı, test sonucu ve kurulum talimatı aynı sürüme bağlanıyor. Servis, müşteriyle güncelleme zamanını belirliyor; tamamlanan ve bekleyen kurulumları ayrı takip ediyor.
Bu örneğin önemli kaydı, yalnızca yeni paket değildir. Hangi makinelerin etkilendiği, hangi düzeltmenin onaylandığı ve hangi müşteriye ulaştığı da bulunabilmelidir. Bildirim sorumlusu, durumun CRA Madde 14 kapsamındaki aktif istismar veya ciddi olay koşullarını karşılayıp karşılamadığını değerlendirir ve gerekiyorsa bildirim sürecini başlatır.
Destek süresini satın alma kalemiyle karıştırmayın
Orenda Box için 10 yıllık donanım bulunabilirliği sunuyoruz. Makine parkına yeni cihaz eklerken ve yedek planlarken bu süreyi dikkate alabilirsiniz. Yazılımın güvenlik desteği ise ayrıca belirlenir.
CRA destek süresi, ürünün beklenen kullanımını karşılamalıdır; genel alt sınır beş yıldır. Beklenen kullanımı daha kısa olan ürünler için istisna vardır. Uzun yıllar çalışan bir makinede, sırf alt sınır beş yıl diye destek planını beş yılda bitirmek doğru bir değerlendirme olmaz.
Sözleşmede ve kullanıcı bilgisinde destek bitişini açıkça belirtin. Yazılım bileşeninin desteği makineninkinden önce biterse ne yapılacağını planlayın. Teknik dosyada bu kararın gerekçesi, sorumlusu ve güncelleme yöntemi bulunsun.
Orenda kayıtların hangi bölümüne katkı sağlar?
Orenda Box, TPM tabanlı güven kökü ve imzalı güncelleme sürümleri sunar. Orenda Connect, seçilen kaynaklara şifreli erişim sağlar; servis için internete açık giriş portu gerektirmez. Kurum kullanıcıları ve grupları üzerinden yetki verilebilir.
App Market uygulamaları ortak kimlik ve erişim kontrollerini kullanır; uygulama izinlerini cihaz yöneticisi onaylar. Uygulama geliştiricisi bu kontrolleri kendi tasarımına dahil edebilir. Üretici de kullandığı sürümü, onayladığı izinleri ve test ettiği servis bağlantısını ürün kayıtlarına ekler.
CRA çalışmasını görüşürken mimari çizimi, sürüm kaydını ve mevcut servis yöntemini birlikte inceleyebiliriz. Amaç, müşterideki makineden başlayıp bileşene, teste ve destek kararına ulaşabilmektir.
