Premio Seguridad de Producto y Resiliencia Cibernética

La Ley de Resiliencia Cibernética (CRA, por sus siglas en inglés) es una normativa de la Unión Europea que establece requisitos de ciberseguridad para los productos con componentes digitales comercializados en el mercado de la UE. Su objetivo es mejorar la seguridad de los productos a lo largo de todo su ciclo de vida, incluyendo el diseño, el desarrollo, la producción, la gestión de vulnerabilidades, las actualizaciones de seguridad y la documentación para el cliente.

Los ordenadores industriales periféricos se conectan cada vez más a redes de tecnología operativa, cargas de trabajo de IA, sistemas de gestión remota e infraestructuras distribuidas. La CRA refuerza la necesidad de un desarrollo de productos seguro, visibilidad de los componentes de software, gestión de vulnerabilidades, actualizaciones de seguridad y documentación del ciclo de vida de los productos de hardware y software conectados.

El cronograma para el cumplimiento se estructura de la siguiente manera:

• 10 de diciembre de 2024: La Ley de Resiliencia Cibernética entró oficialmente en vigor.
• 11 de septiembre de 2026: Entran en vigor las obligaciones de notificación. A partir de esta fecha, los fabricantes están obligados a notificar las vulnerabilidades que se estén explotando activamente y los incidentes de seguridad graves.
• 11 de diciembre de 2027: Las principales obligaciones introducidas por la CRA entran en plena vigencia.

Premio se está preparando activamente para cumplir con los requisitos de la CRA. Las obligaciones de cumplimiento total de la CRA para los productos entrarán en vigor el 11 de diciembre de 2027. La conformidad de la CRA a nivel de producto dependerá del alcance, la configuración, la clasificación, la documentación y los requisitos de evaluación aplicables.

Premio está reforzando las prácticas de seguridad de productos en áreas como el desarrollo seguro, la gestión de vulnerabilidades, la administración de listas de materiales, las actualizaciones de seguridad, la documentación de seguridad de productos y la planificación de evaluaciones de conformidad. La certificación IEC 62443-4-1 que ya posee Premio proporciona una sólida base para un ciclo de vida de desarrollo seguro, lo que facilita la preparación para las evaluaciones de conformidad.

Premio cuenta actualmente con las certificaciones ISO 9001:2015, ISO 13485:2016, ISO 14001:2015 e IEC 62443-4-1. Entre ellas, la norma IEC 62443-4-1 es especialmente relevante, ya que respalda procesos seguros del ciclo de vida del desarrollo de productos.

La norma IEC 62443-4-1 respalda el ciclo de vida de desarrollo seguro de productos de Premio, pero CRA también requiere una evaluación a nivel de producto, manejo de vulnerabilidades, documentación, gestión de actualizaciones de seguridad y evaluación de conformidad en función de la categoría y configuración del producto aplicable.

PSIRT son las siglas de Equipo de Respuesta a Incidentes de Seguridad de Productos. El proceso PSIRT de Premio coordina la revisión, evaluación, mitigación y comunicación de posibles vulnerabilidades de seguridad de los productos. Para consultas sobre PSIRT, póngase en contacto con psirt@premioinc.com.

Si cree haber identificado una posible vulnerabilidad de seguridad que afecte a un producto Premio, póngase en contacto con el Equipo de Respuesta a Incidentes de Seguridad de Productos de Premio (PSIRT) en psirt@premioinc.com. Para que podamos revisar el informe de forma eficiente, incluya el modelo del producto, la versión del software o firmware, la descripción de la vulnerabilidad, el impacto potencial y los pasos para reproducirla, si los tiene disponibles.

Al informar sobre una vulnerabilidad a psirt@premioinc.com, incluya toda la información relevante posible, como el modelo del producto, el número de serie (si corresponde), la versión del BIOS o del firmware, la versión de la imagen del sistema operativo, la versión del controlador o del software, la configuración del sistema, la descripción de la vulnerabilidad, el impacto potencial, los pasos para reproducirla, los registros o capturas de pantalla que la respalden y el ID de CVE (si está disponible).

Premio revisará la información enviada, validará si el problema puede afectar a los productos de Premio, evaluará el impacto potencial, coordinará con los equipos internos o los proveedores según sea necesario y determinará las medidas de mitigación, parches, documentación o comunicación con el cliente adecuadas.

Premio está estableciendo un proceso de asesoramiento sobre seguridad de productos para comunicar las vulnerabilidades relevantes, los productos afectados, las medidas de mitigación, la disponibilidad de actualizaciones y las acciones que deben tomar los clientes cuando corresponda.

Premio proporcionará avisos de seguridad a través de sus recursos oficiales de seguridad de productos. Para preguntas relacionadas con un aviso específico o una vulnerabilidad sospechada, comuníquese con psirt@premioinc.com.

CVE (Common Vulnerabilities and Exposures) es un identificador público para una vulnerabilidad de ciberseguridad conocida. KEV (Known Exploited Vulnerability) se refiere a una vulnerabilidad que se ha observado siendo explotada activamente en el mundo real. Premio está revisando los procesos para monitorear las CVE y KEV que puedan afectar las configuraciones de productos compatibles.

SBOM son las siglas de Software Bill of Materials (Lista de Materiales de Software). Se trata de un inventario estructurado de los componentes de software y firmware incluidos en la configuración de un producto. La gestión de SBOM ayuda a identificar los componentes afectados cuando se descubren vulnerabilidades y facilita el análisis de vulnerabilidades, la planificación de parches y la documentación de seguridad del ciclo de vida.

Premio está revisando los procesos de gestión de SBOM para las configuraciones de producto compatibles. La disponibilidad de SBOM puede depender de la familia de productos, la configuración del software, los requisitos del cliente y la normativa aplicable.

Las actualizaciones de seguridad de Premio pueden variar según el producto y el componente afectado. Estas actualizaciones pueden incluir actualizaciones de BIOS, firmware, imagen del sistema operativo, controladores, utilidades de software, firmware de administración OOB, guías de configuración, soluciones temporales o documentación actualizada.

Los periodos de soporte de seguridad pueden variar según la familia de productos, el estado del ciclo de vida del producto, la configuración del software, el soporte del proveedor y los requisitos normativos aplicables. Premio está analizando cómo proporcionar información más clara sobre los periodos de soporte de seguridad para los productos que lo requieran.

La aplicabilidad de la CRA depende del alcance del producto, su configuración, su uso previsto y su comercialización en el mercado de la UE. Premio está revisando los requisitos de clasificación y evaluación de la conformidad de los productos en todas las familias de productos aplicables.

Para posibles vulnerabilidades de seguridad del producto o consultas relacionadas con PSIRT, comuníquese con Premio PSIRT a través de psirt@premioinc.com. Para preguntas generales sobre CRA, cumplimiento, ventas o soporte técnico, comuníquese con Premio a través del canal de ventas o soporte correspondiente.