Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
A União Europeia abriu caminho para uma reforma global em matéria de segurança cibernética com a recém-promulgada Lei de Resiliência à Segurança Cibernética (CRA), publicada oficialmente em 20 de novembro de 2024. Assim como o GDPR antes dela, essa regulamentação deve influenciar não apenas as empresas europeias, mas também organizações e indivíduos em todo o mundo. O alcance global decorre do fato de que poucas empresas têm recursos para produzir produtos distintos para a UE e outros mercados. A CRA garante que os produtos digitais em todo o mundo provavelmente cumprirão seus rigorosos requisitos de segurança cibernética e visa elevar a importância das questões de segurança, transformando-as de uma mera consideração secundária em uma preocupação central.
Por que a Lei de Resiliência em Cibersegurança é importante
A CRA tem como foco reforçar a segurança de “produtos com elementos digitais”. Isso inclui hardware, software e dispositivos conectados, abordando as vulnerabilidades de segurança cibernética que os cibercriminosos exploram para causar danos generalizados. Conforme destacado no Anexo I do regulamento, os fabricantes são agora obrigados a adotar uma postura proativa em relação à segurança cibernética ao longo de todo o ciclo de vida do produto, desde o projeto até a comercialização e além.
Anexo I: Um plano para produtos digitais seguros
Muitos requisitos passíveis de implementação da CRA estão reunidos no Anexo I, que detalha dois aspectos fundamentais: os requisitos de segurança cibernética relativos às propriedades dos produtos e os requisitos para o tratamento de vulnerabilidades. Aqui estão alguns dos pontos principais:
Parte I: Requisitos de segurança cibernética para produtos digitais
- Status da vulnerabilidade: Os produtos devem ser fornecidos sem vulnerabilidades conhecidas que tenham sido exploradas.
- Projeto baseado em riscos: Os produtos devem ser projetados com um nível adequado de segurança cibernética, proporcional aos riscos identificados durante as avaliações.
- Configurações padrão seguras: Os produtos devem ser fornecidos com uma configuração segura por padrão, a menos que sejam personalizados para uso específico da empresa.
- Atualizações automáticas de segurança: As vulnerabilidades devem ser corrigidas por meio de atualizações, com recursos de automação de segurança cibernética, como atualizações automáticas ativadas por padrão e opções de desativação fáceis de usar.
- Proteção e integridade dos dados: Os produtos devem garantir a confidencialidade, a integridade e a disponibilidade dos dados por meio de criptografia e controles de acesso.
- Resiliência contra ataques: Devem ser adotadas medidas para garantir a disponibilidade e mitigar o impacto de incidentes como ataques de negação de serviço.
- Superfície de ataque mínima: O projeto deve limitar as interfaces externas e reduzir possíveis vias de exploração.
Parte II: Requisitos para o gerenciamento de vulnerabilidades
- Lista de Componentes de Software (SBOM): Os fabricantes devem manter uma SBOM detalhada para identificar vulnerabilidades nos componentes. Essa SBOM deve conter, no mínimo, a lista de dependências de primeiro nível.
- Correção rápida: As vulnerabilidades devem ser corrigidas imediatamente, com atualizações fornecidas separadamente das atualizações de recursos, sempre que possível.
- Transparência e divulgação: As informações sobre vulnerabilidades identificadas, seus impactos e medidas de mitigação devem ser divulgadas, salvo em caso de riscos significativos de exploração; nesse caso, a divulgação pública pode ser adiada (mas não impedida).
- Divulgação coordenada de vulnerabilidades: É obrigatório que exista um mecanismo claro para relatar e resolver vulnerabilidades.
- Distribuição segura de atualizações: As atualizações devem ser distribuídas com segurança, gratuitamente e incluir mensagens de orientação para os usuários.
As implicações mais amplas
A CRA vai além do estabelecimento de padrões de segurança cibernética para produtos digitais — ela reformula as práticas atuais de segurança cibernética no mundo real. As empresas, especialmente as multinacionais, adotarão práticas em conformidade com a CRA de maneira generalizada para otimizar operações e reduzir custos. Isso reflete o efeito cascata global observado com o GDPR, que afetou os padrões de privacidade de dados em todo o mundo.
Desafios para os fabricantes
Embora a CRA trace um caminho promissor para um ecossistema digital mais seguro, ela traz desafios significativos para as empresas:
- Custos de implementação: As pequenas e médias empresas podem ter dificuldades para atender aos rigorosos requisitos.
- Gerenciamento do ciclo de vida: Garantir suporte contínuo e atualizações para todos os produtos pode sobrecarregar os recursos dos administradores do Linux e da equipe de segurança.
- Padronização global: A adequação à CRA, ao mesmo tempo em que se cumprem as regulamentações locais fora da UE, pode complicar a conformidade.
Oportunidades para as organizações que adotam as normas da CRA também abrem novas portas:
- Confiança do consumidor: Os produtos que atendem aos requisitos da CRA atrairão consumidores preocupados com a segurança.
- Vantagem no mercado: Os primeiros a adotar essa tecnologia podem obter uma vantagem competitiva em mercados que valorizam a segurança cibernética.
- Inovação: A lei incentiva avanços no projeto de produtos seguros, promovendo a inovação em segurança cibernética.
Considerações finais
A Lei de Resiliência em Cibersegurança (CRA) é mais do que apenas mais uma regulamentação — é um passo para fortalecer o mundo digital contra ameaças. Ao exigir que os fabricantes priorizem a cibersegurança em todas as etapas, a CRA visa criar produtos mais seguros para consumidores, empresas e governos. Sua influência, sem dúvida, se estenderá além da Europa, estabelecendo um novo padrão global para a resiliência em cibersegurança.
Organizações em todo o mundo devem começar a se preparar agora, integrando os princípios da CRA em seus processos de desenvolvimento, com o objetivo de melhorar seu próprio posicionamento em segurança cibernética e o de seus produtos.
