Giappone: bozza di policy relativa allo schema di valutazione della conformità della sicurezza dei prodotti IoT

 

Il Ministero giapponese dell’Economia, del Commercio e dell’Industria (METI) ha pubblicato una bozza di politica relativa allo schema di valutazione della conformità della sicurezza dei prodotti IoT.

Rientrano nell'ambito di applicazione i prodotti che hanno la capacità di inviare e ricevere dati utilizzando il protocollo Internet (IP), compresi i prodotti che sono indirettamente connessi a Internet (esclusi i prodotti IT di uso generale ai quali gli utenti possono facilmente modificare le misure di sicurezza, ad esempio tramite prodotti software ( PC, tablet, smartphone, ecc.)).

La bozza della politica delinea lo scopo e il posizionamento di uno schema volontario di valutazione della conformità della sicurezza dei prodotti IoT che il Giappone istituirà, i dettagli dello schema, come la sua struttura operativa e la sua portata, nonché le misure per la crescita dello schema.

Con l’aumento della digitalizzazione, negli ultimi anni si è assistito a un aumento significativo del numero di prodotti IoT, accompagnato da un corrispondente aumento degli attacchi informatici che ne hanno preso di mira le vulnerabilità. In questo contesto, le nazioni di tutto il mondo stanno contemplando strategie per garantire la sicurezza dei prodotti IoT.

Il Ministero dell'Economia, del Commercio e dell'Industria (METI) giapponese ha identificato l'istituzione di tale schema come una priorità chiave e si impegna a promuovere i prodotti IoT con solide misure di sicurezza in atto, traendo ispirazione da iniziative simili in altri paesi. A tal fine, nel novembre 2022, METI ha costituito il “Gruppo di studio per l’istituzione di uno schema di valutazione della conformità della sicurezza dei prodotti IoT” e si è impegnato attivamente nelle discussioni all’interno del gruppo.

Per rafforzare la sicurezza dei prodotti IoT, è imperativo implementare uno schema di valutazione della conformità della sicurezza dei prodotti IoT e diffonderlo ampiamente in tutta la società. Ciò implica incoraggiare i committenti e gli utenti finali a dare la priorità ai prodotti recanti un’etichetta di livello di sicurezza richiesta, incentivando anche i fornitori di prodotti IoT a cercare queste etichette.

Il Gruppo di Studio ha delineato tre obiettivi principali del Programma:

1. Facilitare la selezione e l'approvvigionamento di prodotti IoT che soddisfano livelli di sicurezza specifici per le organizzazioni, inizialmente rivolgendosi ad agenzie governative, fornitori di infrastrutture critiche e governi locali.
2. Definire requisiti di sicurezza su misura per settori specifici, consentendo alle organizzazioni industriali di specificare le certificazioni e le etichette necessarie, utilizzando così lo Schema come standard specifico del settore.
3. Ridurre il costo della valutazione della conformità per i fornitori di prodotti IoT che esportano i propri prodotti allineandosi ai programmi di altri paesi e puntando al riconoscimento reciproco.

A seguito del rapporto finale del gruppo di studio, METI ha pubblicato la "Bozza di politica dello schema di valutazione della conformità della sicurezza dei prodotti IoT" per il feedback pubblico dal 15 marzo al 15 aprile 2024 JST.

La bozza politica delinea lo scopo e il quadro del programma proposto per il Giappone, insieme ai dettagli operativi e alle misure per la sua crescita. I punti chiave della bozza includono:

• Il regime sarà volontario e comprenderà un’ampia gamma di prodotti IoT in grado di trasmettere e ricevere dati su Internet utilizzando il protocollo Internet (IP), esclusi PC e smartphone.
• Stabilirà i requisiti di sicurezza sia come linea di base unificata per affrontare le minacce comuni a tutti i prodotti IoT, sia come adattati a specifiche categorie di prodotti per affrontarne le caratteristiche uniche.
• Le etichette per i livelli di sicurezza inferiori verranno concesse sulla base delle autodichiarazioni di conformità dei fornitori, mentre i livelli più elevati richiederanno una valutazione di affidabilità da parte di terzi, in particolare per le agenzie governative e i fornitori di infrastrutture critiche.
• L'Agenzia per la promozione della tecnologia dell'informazione (IPA) supervisionerà il funzionamento del programma, espandendo l'attuale sistema giapponese di valutazione e certificazione della sicurezza informatica (JISEC) per adattarlo.

I commenti pubblici sulla bozza della politica informeranno ulteriori sviluppi, con il lancio ufficiale del sistema previsto tra luglio e settembre 2024. METI mira a iniziare l'accettazione delle autodichiarazioni di conformità per il livello di sicurezza più basso entro marzo 2025. Discussioni sui criteri di sicurezza di livello superiore e il riconoscimento reciproco con i programmi di altri paesi continuerà, insieme agli sforzi per integrare il programma nei requisiti di appalto di varie organizzazioni.

Categoria	Requisiti	☆1 Sicurezza Requisiti	[Rif.] Schemi/documenti esistenti di altro Paesi	[Rif.] Schemi/documenti nazionali esistenti
1. Non universale password predefinite	1-1. Dove vengono utilizzate le password e in qualsiasi stato diversa da quella predefinita di fabbrica, tutte le password devono essere univoco per dispositivo o definito dall'utente.	✓	[ETSI EN 303 645]5.1-1 MC (1) [Regno Unito: legge PSTI]SCHEMA 1: 1-(2) [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia 1-b [Singapore: CLS][*]5.1-1 [IEC 62443-4-2]CR15, CR1.7	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (2) [Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatorio] 2), 1-1-2 Cambio di credenziali [Obbligatorio] 2) [BMSec]IA-2 b)-2), e)-2) 22) [JISEC-C0755]FMT IPWD EST
1. Non universale password predefinite	1-2. Laddove vengono utilizzate password univoche preinstallate, questi devono essere sufficientemente randomizzati attacchi automatizzati.	✓	[ETSI EN 303 645]5.1-2 MC (2) [Regno Unito: legge PSTI]SCHEMA 1: 1-(3) [Singapore: CLS] [＊]5.1-2 [IEC 62443-4-2]CR1.7	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (2) [Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatoria] 2) [JISEC-C0755]FMT_IPWD_EXT
1. Non universale password predefinite	1-3. Meccanismi di autenticazione utilizzati per autenticarsi gli utenti contro il prodotto devono utilizzare tecnologie che ridurre i rischi assunti in modo adeguato al proprietà dell'utilizzo del prodotto, ecc.	✓	[ETSI EN 303 645]5.1-3 M [Regno Unito: legge PSTI]SCHEMA 1: 1-(3) [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia2-b [UE: CRA]ALLEGATO I 1.(3)(b) [Singapore: CLS] [＊]5.1-3 [IEC 62443-4-2]CR15	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (1) [Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatoria] 4), 1-2 Protezione dei dati[Obbligatorio] 3) [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2), Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2) [JISEC-C0755]FIA_UAU, FMT_SMR
1. Non universale password predefinite	1-4. Per l'autenticazione dell'utente rispetto al prodotto, il file i prodotti devono fornire all'utente o a un amministratore un semplice meccanismo per modificare l'autenticazione valore utilizzato.	✓	[ETSI EN 303 645]5.1-4 MC (8) [Singapore: CLS] [＊]5.1-4 [IEC 62443-4-2]CR15	[Certificazione CCDS]1-1-2 Modifica delle credenziali [Obbligatorio] 1) [BMSec]IA-2 [RBSS]Standard di certificazione per registratori digitali （Usi di sicurezza） 52.12 (2) [JISEC-C0755]FMT IPWD EST
1. Non universale password predefinite	1-5. Quando il dispositivo non è un dispositivo vincolato, esso deve disporre di un meccanismo che effettua attacchi di forza bruta ai meccanismi di autenticazione tramite a rete impraticabile.	✓	[ETSI EN 303 645]5.1-5 MC (5) [UE: CRA]ALLEGATO I 1.(3)(b) [Singapore: CLS] [＊]5.1-5 [IEC 62443-4-2]CR1.11	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (1) [Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatoria] 3) [BMSec]IA-3 [JISEC-C0755]FIA AFL
2. Gestire rapporti sulle vulnerabilità	2-1. Il produttore deve creare una vulnerabilità politica di divulgazione disponibile al pubblico. Questa politica dovrà includere, come minimo: • informazioni di contatto per la segnalazione di problemi; E • informazioni sulle tempistiche per: 1) iniziale avviso di ricevimento; E 2) aggiornamenti di stato fino alla risoluzione della segnalazione problemi.	✓	[ETSI EN 303 645]5.2-1M [Regno Unito: legge PSTI]SCHEMA 1: 2-(2), 2-(3) [USA: NISTIR 8425]Ricezione di informazioni e richieste1, 1-a, 1-b, Educazione e sensibilizzazione sul prodotto [UE: CRA]ALLEGATO I 2.(5), ALLEGATO I 2.(6), ALLEGATO II 1, ALLEGATO II 2 [Singapore: CLS] [＊]52-1 [IEC 62443-4-1]DM-1	[Certificazione CCDS]2-1 Punto di contatto e sicurezza sistema di supporto [Obbligatorio] 1) [BMSec] FR-1
2. Gestire rapporti sulle vulnerabilità	2-2. Il produttore agirà per la divulgazione vulnerabilità in modo tempestivo.		[ETSI EN 303 645]5.2-2, R [US: NISTIR 8425]Documentazione 1-g [UE: CRA]ALLEGATO I 2.(7), articolo 10 12 [IEC 62443-4-1]DM-2, DM-3, DM-4	[BMSec] FR-2
2. Gestire rapporti sulle vulnerabilità	2-3. Il produttore deve monitorare continuamente, identificare e correggere le vulnerabilità della sicurezza all'interno prodotti e servizi che vendono, producono, hanno prodotto e servizi che operano durante il supporto definito periodo.		[ETSI EN 303 645]5.2-3 R [UE: CRA]ALLEGATO I 1.(3)(k) [IEC 62443-4-1]DM-2
2. Gestire rapporti sulle vulnerabilità	2-4. Il produttore dovrà riferire al designato organizzazione entro un determinato periodo di tempo il fatto che è stata sfruttata una vulnerabilità nel prodotto, se noto all'organizzazione designata.		[UE: CRA]Articolo 11 1, articolo 11 2, articolo 11 4, Articolo 117 [IEC 62443-4-1]SG-3
2. Gestire rapporti sulle vulnerabilità	2-5. Il produttore deve aggiornare continuamente i propri processi di gestione dei problemi di sicurezza.		[IEC 62443-4-1]DM-6
3. Conserva il software aggiornato	3-1. Particolari componenti software inclusi in i prodotti dovranno essere aggiornabili.	✓	[ETSI EN 303 645]5.3-1 R [USA: NISTIR 8425]Aggiornamento software 1 [UE: CRA]ALLEGATO I 2.(8) [Singapore: CLS] [＊＊＊]CK-LP-03 [IEC 62443-4-1]SM-6, SUM-1 [IEC 62443-4-2]CR43, CR3.10 EDR3.10, HDR3.10 NDR 3.10	[Certificazione CCDS]1-3 Aggiornamento software [Obbligatorio] 1) [Consigliato] 1) [BMSec]PT-1 [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-2. Quando il dispositivo non è un dispositivo vincolato, esso deve avere un meccanismo di aggiornamento per la sicurezza installazione di aggiornamenti.	✓	[ETSI EN 303 645]5.3-2 MC (5) [USA: NISTIR 8425]Aggiornamento software 1 [Singapore: CLS] [＊]53-2	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (3) [Certificazione CCDS]1-3 Aggiornamento software [Obbligatorio] 1) [Consigliato] 1) [BMSec]PT-1 b)-3) [JISEC-C0755]FMT SMF
3. Conserva il software aggiornato	3-3. Quando il prodotto implementa un aggiornamento meccanismo, l'aggiornamento sarà semplice per l'utente fare domanda a.	✓	[ETSI EN 303 645]5.3-3 MC (12) [UE: CRA]ALLEGATO I 2.(8) [Singapore: CLS] [＊]53-3 [IEC 62443-4-1]SOMMA-4	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (3) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT SMF
3. Conserva il software aggiornato	3-4. Dovranno essere utilizzati meccanismi automatici aggiornamenti software.		[ETSI EN 303 645]5.3-4 RC (12) [USA: NISTIR 8425]Aggiornamento software 2 [UE: CRA]ALLEGATO I 1.(3)(k)	[BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	5-3. Il prodotto verrà controllato dopo l'inizializzazione e poi periodicamente, se ci sono aggiornamenti di sicurezza disponibile.		[ETSI EN 303 645]5.3-5 RC (12) [US: NISTIR 8425]Diffusione delle informazioni 1a [UE: CRA]ALLEGATO I 1.(3)(k)	[BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-6. Se il prodotto supporta gli aggiornamenti automatici e/o notifiche di aggiornamento, queste devono essere abilitate in lo stato inizializzato e configurabile in modo che l'utente può abilitare, disabilitare o posticipare l'installazione di aggiornamenti di sicurezza e/o notifiche di aggiornamento.		[ETSI EN 303 645]5.3-6 RC (9, 12)	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 4) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-7. Quando il prodotto implementa un aggiornamento meccanismo, il prodotto dovrà utilizzare le migliori pratiche crittografia per facilitare meccanismi di aggiornamento sicuri.	✓	[ETSI EN 303 645]5.3-7 MC (12) [USA: NISTIR 8425]Aggiornamento software 1 [Singapore: CLS] [＊]53-7 [IEC 62443-4-2]CR43	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 2) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-8. Quando il prodotto implementa un aggiornamento meccanismo, gli aggiornamenti di sicurezza devono essere tempestivi.	✓	[ETSI EN 303 645]5,3-8 MC (12) [UE: CRA]ALLEGATO I 2.(2), ALLEGATO I 2.(7), ALLEGATO I 2.(8) [Singapore: CLS] [＊]53-8 [IEC 62443-4-1]SOMMA-5	[Certificazione CCDS]2-1 Punto di contatto e sicurezza sistema di supporto [Obbligatorio] 2) [BMSec]PT-1 b)-4), e)-1) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-9. Il prodotto deve verificare l'autenticità e integrità degli aggiornamenti software.		[ETSI EN 303 645]5.3-9 RC (12) [UE: CRA]ALLEGATO I 1.(3) (E) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR43, CR3.2 SAR3.2, EDR32 HDR32NDR3.2	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 1) [BMSec]PT-1 [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-10. Dove gli aggiornamenti vengono consegnati su una rete interfaccia, il prodotto deve verificare l'autenticità e integrità di ciascun aggiornamento tramite una relazione di fiducia.	✓	[ETSI EN 303 645]5,3-10 M (11,12) [UE: CRA]ALLEGATO I 1.(3)(e) [Singapore: CLS] [＊]53-10 [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR3.1, CR3.2 SAR3.2, EDR32 HDR32NDR3.2	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 1) [JISEC-C0755]FMT_SMF
3. Conserva il software aggiornato	3-11. Il produttore pubblica, in modo accessibile modo chiaro e trasparente per l'utente, il definito periodo di supporto.		[ETSI EN 303 645]5.3-14 RC (3,4) [US: NISTIR 8425]Diffusione delle informazioni 1
3. Conserva il software aggiornato	3-12. Per dispositivi vincolati che non possono avere il loro software aggiornato, il dispositivo sarà isolabile.		[ETSI EN 303 645]5.3-15 RC (3,4) [IEC 62443-4-2]CR26, CR5.1
3. Conserva il software aggiornato	3-13. Per dispositivi vincolati che non possono avere il loro software aggiornato, il dispositivo sarà l'hardware sostituibile.		[ETSI EN 303 645]5.3-15 RC (3,4)
3. Conserva il software aggiornato	3-14. La designazione del modello dei prodotti sarà chiaramente riconoscibile, sia tramite l'etichettatura sul prodotto o tramite un'interfaccia fisica.	✓	[ETSI EN 303 645]5,3-16 M [US: NISTIR 8425]Diffusione delle informazioni 2 [UE: CRA]ALLEGATO II 3 [Singapore: CLS] [＊]53-16
3. Conserva il software aggiornato	3-15. Distinta base software leggibile dalla macchina (SBOM) contenente informazioni di identificazione del software, devono essere preparate informazioni sui componenti, ecc.		[UE: CRA]ALLEGATO I 2.(1) [Singapore: CLS] [＊＊＊]CK-LP-06	[BMSec] CM-1
4. Conservare in modo sicuro parametri sensibili	4-1. Parametri di sicurezza sensibili nel prodotto la conservazione deve essere conservata in modo sicuro accanto al prodotto.	✓	[ETSI EN 303 645]5,4-1 M [USA: NISTIR 8425]Protezione dei dati 1, Interfaccia Controllo accessi 2-a [Singapore: CLS] [＊＊]5.4-1 [IEC 62443-4-2]CR15, CR1.9, CR1.14, CR38, CR4.1, CR3.12 EDR3.12 HDR3.12 NDR3.12, CR3.13 EDR3.13 HDR3.13 NDR3.13	[Certificazione CCDS]1-2 Protezione dei dati[Obbligatorio] 1) 3) [JISEC-C0755]FMT_MTD
4. Conservare in modo sicuro parametri sensibili	4-2. Dove si trova un'identità univoca per dispositivo codificata utilizzato in un prodotto per scopi di sicurezza, deve essere implementato in modo tale da resistere alla manomissione tramite mezzi fisici, elettrici o software.		[ETSI EN 303 645]5.4-2 MC (10) [Singapore: CLS] [＊＊]5.4-2 [IEC 62443-4-2]CR15, CR3.11 EDR3.11 HDR3.11 NDR3.11
4. Conservare in modo sicuro parametri sensibili	4-3. Parametri di sicurezza critici codificati in il codice sorgente del software del prodotto non dovrà essere utilizzato.		[ETSI EN 303 645]5,4-3 M [Singapore: CLS] [＊＊]5.4-3
4. Conservare in modo sicuro parametri sensibili	4-4. Eventuali parametri di sicurezza critici utilizzati per l'integrità e controlli di autenticità degli aggiornamenti software e per protezione della comunicazione con i servizi associati nel software del prodotto deve essere univoco per dispositivo e dovrà essere prodotto con un meccanismo che riduca il rischio di attacchi automatizzati contro classi di dispositivi.		[ETSI EN 303 645]5,4-4 M [Singapore: CLS] [＊＊]5.4-4 [IEC 62443-4-1]SM-8 [IEC 62443-4-2]CR38	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 1) 2)
5. Comunicare in modo sicuro	5-1. Il prodotto utilizzerà la crittografia delle migliori pratiche per comunicare in modo sicuro.	✓	[ETSI EN 303 645]5,5-1M [USA: NISTIR 8425]Protezione dei dati 3 [UE: CRA]ALLEGATO I 1.(3)(c) [Singapore: CLS] [＊＊]55-1 [IEC 62443-4-2]CR3.1, CR4.3	[Certificazione CCDS]1-2 Protezione dei dati[Obbligatorio] 2), metodo di autenticazione Wi-Fi 1-4-1 [Obbligatorio] 1), 1-4-2 Contromisure per la vulnerabilità Bluetooth [Obbligatorio] 1) [BMSec]TP-1
5. Comunicare in modo sicuro	5-2. Il prodotto dovrà essere rivisto o valutato implementazioni per fornire rete e sicurezza funzionalità, in particolare nel campo della crittografia.		[ETSI EN 303 645]5.5-2 R [USA: NISTIR 8425]Protezione dei dati 1 [UE: CRA]ALLEGATO I 2.(3) [Singapore: CLS] [＊＊＊]CK-LP-02 [IEC 62443-4-1]SD-3 [IEC 62443-4-2]CR18, CR1.9, CR1.14, CR3.12 EDR3.12 HDR3.12 NDR3.12, CR3.13 EDR3.13 HDR3.13NDR3.13	[Certificazione CCDS]1-2 Protezione dei dati [Consigliato] 1) 2)
5. Comunicare in modo sicuro	5-3. Gli algoritmi e le primitive crittografiche saranno aggiornabile.		[ETSI EN 303 645]5.5-3 R	[JISEC-C0755]FMT_SMF
5. Comunicare in modo sicuro	5-4. Accesso alle funzionalità del prodotto tramite una rete l'interfaccia sarà possibile solo nello stato inizializzato dopo l'autenticazione su quell'interfaccia.		[ETSI EN 303 645]5.5-4 R [USA: NISTIR 8425]Controllo accesso interfaccia 1-c, 2-b, 2-c [UE: CRA]ALLEGATO I 1.(3)(b) [IEC 62443-4-2]CR1.1, CR1.6 NDR1.6, CR1.12, CR2.1 CR1.13 NDR1.13 CR2.2 CR2.12	[RBSS]Standard di certificazione per registratori digitali （Usi di sicurezza） 52.12 (2)
5. Comunicare in modo sicuro	5-5. Funzionalità del prodotto che consentono operazioni rilevanti per la sicurezza le modifiche alla configurazione tramite un'interfaccia di rete devono essere effettuate essere accessibili solo previa autenticazione. L'eccezione è per i protocolli dei servizi di rete su cui si fa affidamento dal prodotto e dove il produttore non può garantire quale configurazione sarà richiesta per il prodotto da utilizzare.	✓	[ETSI EN 303 645]5,5-5M [UE: CRA]ALLEGATO I 1.(3)(b) [Singapore: CLS] [＊＊] 55-5 [IEC 62443-4-2]CR16 NDR1.6, CR2.12, CR6.1	[Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatorio] 4), 1-1-1 Disabilitazione di Porte TCP/UDP [consigliate] 2), 1-3 Software Aggiornamento [consigliato] 3) [BMSec]IA-1, MT-1 [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2)-4, Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2)-4 [JISEC-C0755]FAU_UID
5. Comunicare in modo sicuro	5-6. I parametri critici di sicurezza devono essere crittografati transito, con tale crittografia adeguata al proprietà della tecnologia, rischio e utilizzo.		[ETSI EN 303 645]5.5-6 R [UE: CRA]ALLEGATO I 1.(3)(c) [IEC 62443-4-1]SM-8 [IEC 62443-4-2]CR15 CR3.1 CR4.3	[RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2), Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2)
5. Comunicare in modo sicuro	5-7. Il prodotto deve proteggere la riservatezza di parametri critici di sicurezza comunicati tramite interfacce di rete accessibili da remoto.	✓	[ETSI EN 303 645]5,5-7M [UE: CRA]ALLEGATO I 1.(3)(c) [Singapore: CLS] [＊＊]55-7 [IEC 62443-4-2]CR3.1, CR4.3	[Certificazione CCDS]1-2 Protezione dei dati[Obbligatorio] 2), metodo di autenticazione Wi-Fi 1-4-1 [Obbligatorio]
5. Comunicare in modo sicuro	5-8. Il produttore deve seguire in modo sicuro processi di gestione per la sicurezza critica parametri che riguardano il prodotto.		[ETSI EN 303 645]5,5-8 M [Singapore: CLS] [＊＊]55-8, [＊＊＊]CK-LP-09 [IEC 62443-4-2]CR13 CR1.4
5. Comunicare in modo sicuro	5-9. Il prodotto installato al confine della zona dovrà implementare funzioni di monitoraggio e controllo comunicazioni.		[IEC 62443-4-2]CR52 NDR52
5. Comunicare in modo sicuro	5-10. Dovrà essere presente una funzione per rilevare eventuali manomissioni implementato in tutte le comunicazioni tra prodotti. Se viene rilevata una manomissione, azioni come verrà effettuata la notifica all'utente.		[UE: CRA]ALLEGATO I 1.(3)(d)	[JISEC-C0755]FPT_ITI
6. Ridurre al minimo l'esposizione superfici di attacco	6-1. Tutte le interfacce fisiche e logiche di rete non utilizzate le interfacce devono essere disabilitate.	✓	[ETSI EN 303 645]5,6-1 M [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia 1-a [UE: CRA]ALLEGATO I 1.(3)(h) [Singapore: CLS] [＊＊]56-1 [IEC 62443-4-2]CR7.7	[Certificazione CCDS]1-1-1 Disabilitazione di TCP/UDP porti [Obbligatorio] 1) [BMSec]NI-1, VA-1, VA-2, VA-3
6. Ridurre al minimo l'esposizione superfici di attacco	6-2. Nello stato inizializzato, le interfacce di rete di il prodotto deve ridurre al minimo i dati non autenticati divulgazione di informazioni rilevanti per la sicurezza.		[ETSI EN 303 645]5,6-2M [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia 2-a [Singapore: CLS] [＊＊]56-2 [IEC 62443-4-2]CR1.10	[Certificazione CCDS]1-1-1 Disabilitazione di TCP/UDP porte [Obbligatorio] 2), 1-4-2 Vulnerabilità Bluetooth contromisure [Obbligatorio] 2)
6. Ridurre al minimo l'esposizione superfici di attacco	6-3. L'hardware del dispositivo non deve essere esposto inutilmente interfacce fisiche da attaccare.		[ETSI EN 303 645]5.6-3 R [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia 1-a [UE: CRA]ALLEGATO I 1.(3)(h) [IEC 62443-4-2]CR2.13 EDR2.13, HDR2.13 NDR2.13, CR7.7, CR5.3 NDR5.3	[Certificazione CCDS]1-4-3 Controllo accesso USB [Obbligatorio] 1) [Consigliato] 1) 2) [BMSec]VA-2 [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2)-4, Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2)-4
6. Ridurre al minimo l'esposizione superfici di attacco	6-4. Laddove un'interfaccia di debug è fisicamente accessibile, dovrà essere disabilitato nel software.		[ETSI EN 303 645]5,6-4 MC (13) [UE: CRA]ALLEGATO I 1.(3)(h) [Singapore: CLS] [＊＊]56-4 [IEC 62443-4-2]CR2.13 EDR2.13, HDR2.13 NDR2.13, CR7.7	[Certificazione CCDS]1-4-3 Controllo accesso USB [Obbligatorio] 1) [BMSec]VA-3 [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2)-4, Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2)-4
6. Ridurre al minimo l'esposizione superfici di attacco	6-5. Il produttore deve abilitare solo il software servizi utilizzati o richiesti per lo scopo previsto uso o funzionamento del prodotto.		[ETSI EN 303 645]5.6-5 R [Singapore: CLS] [＊＊＊]CK-LP-05 [IEC 62443-4-2]CR7.7
6. Ridurre al minimo l'esposizione superfici di attacco	6-6. Il codice deve essere ridotto al minimo per quanto riguarda la funzionalità necessari per il funzionamento del servizio/prodotto.		[ETSI EN 303 645]5.6-6 R [Singapore: CLS] [＊＊＊]CK-LP-02, [＊＊＊]CK-LP-05 [IEC 62443-4-1]SI-1, SI-2
6. Ridurre al minimo l'esposizione superfici di attacco	6-7. Il software dovrà essere eseguito con il minimo necessario privilegi, tenendo conto sia della sicurezza che della funzionalità.		[ETSI EN 303 645]5.6-7 R [IEC 62443-4-2]CR2.4 SAR2.4, EDR2.4 HDR2.4, NDR2.4 モバイルコード CR7.7	[RBSS]Standard di certificazione per registratori digitali （Usi di sicurezza） 52.12 (2)
6. Ridurre al minimo l'esposizione superfici di attacco	6-8. Il prodotto deve includere un livello hardware meccanismo di controllo dell'accesso alla memoria.		[ETSI EN 303 645]5.6-8 R
6. Ridurre al minimo l'esposizione superfici di attacco	6-9. Il produttore deve seguire in modo sicuro processi di sviluppo per il software distribuito su Prodotto.		[ETSI EN 303 645]5.6-9 R [UE: CRA]Articolo 10 9 [IEC 62443-4-1]SM-7	[Certificazione CCDS]1-4-2 Vulnerabilità Bluetooth contromisure [Obbligatorio] 3) [BMSec]CM-1
6. Ridurre al minimo l'esposizione superfici di attacco	6-10. Solo componenti di terze parti che sono stati protetti tramite test di penetrazione e/o codice la revisione sarà attuata.		[UE: CRA]Articolo 10 4, ALLEGATO I 1.(1), articolo 10 2 [Singapore: CLS] [＊＊＊]CK-LP-03 [IEC 62443-4-1]SM-9 SM-10
7. Garantire il software integrità	7-1. Il prodotto verificherà il suo software utilizzando secure meccanismi di avvio.		[ETSI EN 303 645]5.7-1 R [UE: CRA]ALLEGATO I 1.(3)(e) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR12, CR3.4, CR3.14 EDR3.14, HDR3.14NDR3.14	[Certificazione CCDS]1-3 Aggiornamento software [Consigliato] 1)
7. Garantire il software integrità	7-2. Se viene rilevata una modifica non autorizzata al file software, il prodotto avviserà l'utente e/o amministratore del problema e non si connetterà a reti più ampie di quelle necessarie per eseguire il funzione di avviso.		[ETSI EN 303 645]5.7-2 R [Stati Uniti: sensibilizzazione sullo stato della sicurezza informatica 1 [UE: CRA]ALLEGATO I 1.(3)(g) [IEC 62443-4-1]SM-6 [IEC 62443-4-2]CR3.7 CR6.2
8. Assicurati che i dati personali sono sicuro	8-1. La riservatezza dei dati personali in transito tra un dispositivo e un servizio, soprattutto associato servizi, devono essere protetti, con le migliori pratiche crittografia.		[ETSI EN 303 645]5.8-1 R [UE: CRA]ALLEGATO I 1.(3)(c) [IEC 62443-4-2]CR43	[Certificazione CCDS]1-2 Protezione dei dati[Obbligatorio] 2) [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2)
8. Assicurati che i dati personali sono sicuro	8-2. La riservatezza dei dati personali sensibili comunicati tra il dispositivo e gli associati i servizi devono essere protetti, con crittografia adeguato alle proprietà della tecnologia e utilizzo.		[ETSI EN 303 645]5,8-2M [UE: CRA]ALLEGATO I 1.(3)(c) [Singapore: CLS] [＊＊]58-2 [IEC 62443-4-2]CR43	[Certificazione CCDS]1-2 Protezione dei dati[Obbligatorio] 2)
8. Assicurati che i dati personali sono sicuro	8-3. Tutte le capacità di rilevamento esterno del prodotto devono essere documentati in modo accessibile e chiaro e trasparente per l'utente.		[ETSI EN 303 645]5,8-3 M [Singapore: CLS] [＊＊]58-3
9. Resilienza a interruzioni	9-1. La resilienza deve essere incorporata nei prodotti e servizi, tenendo conto della possibilità di interruzioni delle reti dati e dell'energia.	✓	[ETSI EN 303 645]5.9-1 R [UE: CRA]ALLEGATO I 1.(3)(f) [IEC 62443-4-2]CR7.1, CR7.3	[MIC: Ordinanza relativa alle strutture terminali, ecc.]Articolo 34-10 (4) [Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatoria]⑤
9. Resilienza a interruzioni	9-2. Il prodotto rimarrà operativo e localmente funzionale in caso di perdita di accesso alla rete e si riprenderà in modo pulito in caso di ripristino di a perdita di potere.		[ETSI EN 303 645]5.9-2 R [UE: CRA]ALLEGATO I 1.(3)(f) [IEC 62443-4-2]CR7.1, CR7.4, CR7.5
9. Resilienza a interruzioni	9-3. Il prodotto si connetterà alle reti in un stato previsto, operativo e stabile e in uno stato moda ordinata, prendendo la capacità del infrastruttura in considerazione.		[ETSI EN 303 645]5.9-3 R [UE: CRA]ALLEGATO I 1.(3)(f) [IEC 62443-4-2]CR2.7, CR7.1, CR7.2
9. Resilienza a interruzioni	9-4. Meccanismi antiabuso come il controllo degli accessi e/o l'autenticazione devono essere utilizzate per mitigare l' impatto degli incidenti.		[UE: CRA]ALLEGATO I 1.(3)(i), Articolo 10 2, ALLEGATO I 1.(1) [IEC 62443-4-2]CR2.9 CR2.10 CR3.6
10. Esaminare e proteggere il sistema dati di telemetria	10-1. Se i dati di telemetria vengono raccolti da dispositivi e servizi, come dati di utilizzo e misurazione, saranno esaminati per eventuali anomalie di sicurezza.		[ETSI EN 303 645]5.10-1 RC (6) [Stati Uniti: sensibilizzazione sullo stato della sicurezza informatica 1 [UE: CRA]ALLEGATO I 1.(3)(j) [IEC 62443-4-2]CR28, CR2.11	[Certificazione CCDS]3-1 Registrazione del registro di controllo [Consigliato] 1) 2) 3), 3-1-1 Gestione del tempo funzione [Consigliato] 1) [RBSS]Standard di certificazione per telecamere di sicurezza 5.2.12 (2), Standard di certificazione per il digitale Registratore（Usi di sicurezza） 5.2.12 (2) [JISEC-C0755]FMT MTD FAU GEN
10. Esaminare e proteggere il sistema dati di telemetria	10-2. I dati di telemetria saranno protetti da meccanismi quali la crittografia e l’accesso ai dati controllo.		[IEC 62443-4-2]CR3.9	[JISEC-C0755]FAU_STG
11. Elimina i dati dell'utente	11-1. All'utente verranno fornite le funzionalità in modo tale che i dati dell'utente possano essere cancellati dal prodotto un modo semplice.	✓	[ETSI EN 303 645]5.11-1 M [USA: NISTIR 8425]Protezione dei dati 2 [Singapore: CLS] [＊＊]5.11-1 [IEC 62443-4-2]CR42	[Certificazione CCDS]1-2-1 Funzione di cancellazione dei dati [Obbligatorio] 1) [BMSec]MT-2 [JISEC-C0755]FMT MTD
11. Elimina i dati dell'utente	11-2. Il consumatore deve essere fornito funzionalità del prodotto in modo tale che i dati personali può essere rimosso dai servizi associati in modo semplice maniera.		[ETSI EN 303 645]5.11-2 R [USA: NISTIR 8425]Protezione dei dati 2 [IEC 62443-4-2]CR42	[BMSec]MT-2, DP-1 [JISEC-C0755]FMT_MTD
11. Elimina i dati dell'utente	11-3. Agli utenti devono essere fornite istruzioni chiare su come farlo cancellare i propri dati personali.		[ETSI EN 303 645]5.11-3 R [USA: NISTIR 8425]Protezione dei dati 2, Prodotto Educazione e consapevolezza 1-a [IEC 62443-4-1]SG-4	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio] 5) [BMSec]MT-2, DP-1
11. Elimina i dati dell'utente	11-4. Agli utenti verrà fornita una chiara conferma che i dati personali sono stati cancellati dai servizi, dispositivi e applicazioni.		[ETSI EN 303 645]5.11-4 R [IEC 62443-4-1]SG-4
12. Effettuare l'installazione e manutenzione di dispositivi facili	12-1. Installazione e manutenzione del prodotto comporterà decisioni minime da parte dell'utente e dovrà seguire le migliori pratiche di sicurezza sull'usabilità.		[ETSI EN 303 645]5.12-1 R	[Certificazione CCDS]1-1-1 Disabilitazione di TCP/UDP porte [Consigliato] 1) [JISEC-C0755]FMT_MOF
12. Effettuare l'installazione e manutenzione di dispositivi facili	12-2. Il produttore fornisce agli utenti indicazioni su come configurare in modo sicuro il proprio prodotto.		[ETSI EN 303 645]5.12-3 R [USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-a [UE: CRA]ALLEGATO I 1.(2) ALLEGATO I 1.(3)(a)	[BMSec]PR-1
12. Effettuare l'installazione e manutenzione di dispositivi facili	12-3. Il produttore fornisce agli utenti indicazioni su come verificare se il loro prodotto lo è impostare in modo sicuro.		[USA: NISTIR 8425]Configurazione del prodotto 1 [IEC 62443-4-2]CR15
12. Effettuare l'installazione e manutenzione di dispositivi facili	12-4. La capacità di ripristinare il prodotto allo stato in cui era proteggere le impostazioni di configurazione predefinite da parte dell'utente e amministratore sarà implementato.		[USA: NISTIR 8425]Configurazione del prodotto 2 [UE: CRA]ALLEGATO I 1.(3)(a)	[BMSec]MT-2
12. Effettuare l'installazione e manutenzione di dispositivi facili	12-5. La possibilità di applicare le impostazioni di configurazione a componenti quali hardware, software o firmware sarà implementato.		[USA: NISTIR 8425]Configurazione del prodotto 3 [IEC 62443-4-2]CR15
13. Convalidare l'input dati	13-1. Il software del prodotto dovrà convalidare l'immissione dei dati tramite interfacce utente o trasferiti tramite l'applicazione Interfacce di programmazione (API) o tra reti nei servizi e nei dispositivi.		[ETSI EN 303 645]5.13-1 M [USA: NISTIR 8425]Controllo dell'accesso all'interfaccia 2-a [UE: CRA]ALLEGATO I 1.(3)(e) [Singapore: CLS] [＊＊]5.13-1 [IEC 62443-4-1]SVV-1 [IEC 62443-4-2]CR35	[Certificazione CCDS]Iniezione 1-4-4 contromisure [Obbligatorio] 1)
14. Proteggi il personale dati in modo sicuro	14-1. Il produttore fornisce ai consumatori informazioni chiare e trasparenti su cosa dati personali viene elaborato, come viene utilizzato, da chi e per quali scopi, per ogni prodotto e servizio. Questo vale anche per i terzi che possono essere coinvolti, compresi gli inserzionisti.		[ETSI EN 303 645]6,1 M [USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-a [Singapore: CLS] [＊＊]6.1
14. Proteggi il personale dati in modo sicuro	14-2. Dove i dati personali vengono trattati sulla base del consenso dei consumatori, tale consenso dovrà essere ottenuto in un		[ETSI EN 303 645]6.2 MC (7) [Singapore: CLS] [＊＊]62
14. Proteggi il personale dati in modo sicuro	14-3. Consumatori che hanno dato il consenso per la il trattamento dei propri dati personali avrà il possibilità di ritirarlo in qualsiasi momento.		[ETSI EN 303 645]6,3 M [Singapore: CLS] [＊＊]63
14. Proteggi il personale dati in modo sicuro	14-4. Se i dati di telemetria vengono raccolti da dispositivi e servizi, il trattamento dei dati personali sarà mantenuto al minimo necessario per lo scopo previsto funzionalità.		[ETSI EN 303 645]6.4 RC (6) [UE: CRA]ALLEGATO I 1.(3)(e)
14. Proteggi il personale dati in modo sicuro	14-5. Se i dati di telemetria vengono raccolti da dispositivi e servizi forniti ai consumatori informazioni su quali dati di telemetria vengono raccolti e come viene utilizzato da chi e per quali scopi.		[ETSI EN 303 645]6,5 MC (6) [USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-a [Singapore: CLS] [＊＊]65
15. Realizza prodotti identificabile	15-1. Il prodotto deve essere identificabile in modo univoco da utenti e amministratori.		[US: NISTIR 8425]Identificazione delle risorse 1 [UE: CRA]ALLEGATO II 3 [IEC 62443-4-2]CR12	[Certificazione CCDS]1-1 Controllo accessi e Autenticazione [Obbligatoria] 1)
15. Realizza prodotti identificabile	15-2. Dovrà essere istituito un meccanismo di gestione dell'inventario implementato per il prodotto e la capacità di farlo gestire i componenti del prodotto collegati.		[USA: NISTIR 8425]Identificazione delle risorse 2 [IEC 62443-4-2]CR78
16. Identificare e testare minacce	16-1. Un prodotto deve essere sviluppato sulla base di una minaccia analisi delle funzionalità del prodotto.		[IEC 62443-4-1]SR-2, SI-1
16. Identificare e testare minacce	16-2. Dovranno essere implementate molteplici funzioni di sicurezza sulla base dei risultati dell’analisi delle minacce.		[IEC 62443-4-1]SD-2
16. Identificare e testare minacce	16-3. Dovrà essere eseguito un test di penetrazione sul Prodotto.		[Singapore: CLS] [＊＊＊]CK-LP-02, [＊＊＊]CK-LP-07 [IEC 62443-4-1]SVV-1, SVV-3, SM-11, SVV-4
17. Fornire informazioni su prodotti	17-1. Le informazioni sulla sicurezza del prodotto devono essere fornito nella lingua specificata all'utente specificato entità.		[UE: CRA]Articolo 10 7, Articolo 10 8, Articolo 10 13, Articolo 20 2, articolo 23 ４ [Singapore: CLS] [＊＊＊]CK-LP-04 [IEC 62443-4-1]DM-5	[BMSec]FR-2
17. Fornire informazioni su prodotti	17-2. Il produttore fornisce agli utenti indicazioni su come installare, utilizzare e smaltire in modo sicuro dei loro prodotti.	✓	[ETSI EN 303 645]5.12-2 R [US: NISTIR 8425]Documentazione 1-a, 1-d, Prodotto Educazione e Consapevolezza 1-a, Informazione Diffusione 2 [UE: CRA]ALLEGATO II 4, ALLEGATO II 9 [IEC 62443-4-1]SOMMA-2	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio] 1) [BMSec]PT-1, TP-1
17. Fornire informazioni su prodotti	17-3. Il produttore informa l'utente in a modo riconoscibile ed evidente che una sicurezza è richiesto l'aggiornamento insieme alle informazioni su rischi mitigati da tale aggiornamento.	✓	[ETSI EN 303 645]5.3-11 RC (12) [US: NISTIR 8425]Diffusione delle informazioni 1c 1d 1e [UE: CRA]ALLEGATO I 2.(4), ALLEGATO I 2.(8) [IEC 62443-4-1]SOMMA-2	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio] 2) [BMSec]FR-2
17. Fornire informazioni su prodotti	17-4. Il prodotto avviserà l'utente quando il l'applicazione di un aggiornamento software interromperà le funzionalità di base funzionamento del dispositivo.		[ETSI EN 303 645]5.3-12 RC (12) [US: NISTIR 8425]Diffusione delle informazioni 1 [UE: CRA]ALLEGATO I 2.(8) [IEC 62443-4-1]SOMMA-2 SOMMA-3	[JISEC-C0755]FMT_SMF
17. Fornire informazioni su prodotti	17-5. Il produttore deve fornire all'utente a procedura specificata per lo smaltimento del prodotto.	✓	[USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-c [IEC 62443-4-1]SG-4	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio]⑤ [BMSec]DP-1
17. Fornire informazioni su prodotti	17-6. Il produttore fornisce informazioni in merito il prodotto, inclusa la progettazione, la produzione e risultati della valutazione, all'utente in un modo specifico.		[US: NISTIR 8425]Documentazione 1-b [UE: CRA]Articolo 10 3, Articolo 10 11, Articolo 24 1, Articolo 24 2, Articolo 24 3, Articolo 24 4, ALLEGATO V 5 [IEC 62443-4-1]SG-1
17. Fornire informazioni su prodotti	17-7. Il produttore fornirà all'utente informazioni su come mantenere il prodotto nel modo specificato.		[USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-b [IEC 62443-4-1]SG-5, SG-3, SG-6	[JISEC-C0755]FAU_SAR
17. Fornire informazioni su prodotti	17-8. Il produttore pubblica, in modo accessibile modo chiaro e trasparente per l'utente, il periodo di supporto definito.	✓	[ETSI EN 303 645]5,3-13 M [Regno Unito: PSTI Act]SCHEMA 1: 3-(2), 3-(3), 3-(4) [USA: NISTIR 8425]Educazione e consapevolezza del prodotto 1-d, 1-e, Diffusione delle informazioni 1b [UE: CRA]ALLEGATO II 6, ALLEGATO II 7, ALLEGATO II 8 [Singapore: CLS] [＊]53-13 [IEC 62443-4-1]SG-3	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio] 4) [JISEC-C0755]FPT_SMT
17. Fornire informazioni su prodotti	17-9. Il produttore fornisce informazioni a l'utente in un modo specifico prima di un evento comportando la cessazione delle attività.		[UE: CRA]Articolo 10 14
17. Fornire informazioni su prodotti	17-10. Il produttore fornirà all'utente informazioni in un modo specifico riguardanti il prodotto utilizzo che potrebbe rappresentare un rischio per la sicurezza.	✓	[US: NISTIR 8425]Documentazione 1-d [UE: CRA]ALLEGATO II 5 [IEC 62443-4-1]SG-3 SR-1	[Certificazione CCDS]2-3 Fornitura di informazioni a utenti [Obbligatorio] 1) 3) [BMSec]PR-1
17. Fornire informazioni su prodotti	17-11. Il produttore deve fornire indicazioni all'utente su come testare le funzioni di sicurezza implementato nel prodotto in un modo specifico.		[IEC 62443-4-2]CR33
18. Documentazione	18-1. Il produttore deve documentare i dati relativi a mezzi utilizzati per soddisfare i requisiti di sicurezza.		[UE: CRA]Articolo 20 1, articolo 23 1 [Singapore: CLS] [＊＊＊]CK-LP-01 [IEC 62443-4-1]SM-1, SM-12, SR-3, SR-4, SG-2 [IEC 62443-4-2]CR32 SAR32 EDR3.2 HDR3.2 NDR32	[Certificazione CCDS]2-2 Documento del prodotto gestione [Obbligatorio] 1)
18. Documentazione	18-2. Il produttore dovrà aggiornare continuamente la documentazione preparata entro un determinato periodo di tempo.		[UE: CRA]Articolo 23 ２ [IEC 62443-4-1]SM-13, SR-5, SG-7	[Certificazione CCDS]2-2 Documento del prodotto gestione [Obbligatorio] 1)
18. Documentazione	18-3. Il produttore dovrà documentare ulteriormente informazioni sul prodotto (ad esempio, versioni del software che influiscono sulla destinazione d'uso e sul rispetto della requisiti di base, fotografie del prodotto aspetto, risultati della valutazione, ecc.).		[US: NISTIR 8425]Documentazione 1-d, Informazioni Diffusione 2 [UE: CRA]Articolo 20 3, Articolo 23 3, ALLEGATO IV 1, ALLEGATO IV 2, ALLEGATO IV 3, ALLEGATO IV 4, ALLEGATO IV 7, ALLEGATO IV 8, ALLEGATO V 1, ALLEGATO V 3, ALLEGATO V 6 [IEC 62443-4-1]SOMMA-3
18. Documentazione	18-4. Il produttore documenta le informazioni per quanto riguarda la progettazione, sviluppo, produzione e processi di risposta alla vulnerabilità del prodotto.		[US: NISTIR 8425]Documentazione 1-d, 1-e, 1-f, Diffusione delle informazioni 2 [UE: CRA]ALLEGATO V 2, ALLEGATO V 7 [Singapore: CLS] [＊＊＊]CK-LP-02 [IEC 62443-4-1]SM-1 SD-1 SD-4	[Certificazione CCDS]2-2 Documento del prodotto gestione [Obbligatorio] 1)
18. Documentazione	18-5. Per ciascuno di essi deve essere registrata una giustificazione raccomandazione contenuta nel presente documento considerato non applicabile o non soddisfatto da il prodotto.		[ETSI EN 303 645]4.1 [US: NISTIR 8425]Documentazione 1-c [UE: CRA]ALLEGATO V 4 [IEC 62443-4-1]SM-3, SM-5, SI-1 [IEC 62443-4-2]CR2.12	[Certificazione CCDS]2-2 Documento del prodotto gestione [Obbligatorio] 1)
18. Documentazione	18-6. Il produttore deve documentare la sicurezza informazioni sui loro prodotti scoperti da sviluppatori o forniti da terze parti e aggiornarli le loro valutazioni del rischio.		[UE: CRA]Articolo 10 5 [Singapore: CLS] [＊＊＊]CK-LP-08
18. Documentazione	18-7 Il produttore deve documentare le leggi e normative alle quali il prodotto deve essere conforme. IL il produttore deve inoltre documentare la vita del prodotto, costi operativi e periodo di supporto.		[US: NISTIR 8425]Documentazione 1-a [UE: CRA]ALLEGATO IV 5, ALLEGATO IV 6 [IEC 62443-4-1]SOMMA-1	[Certificazione CCDS]2-2 Documento del prodotto gestione [Obbligatorio] 1)
18. Documentazione	18-8. Il produttore deve documentare la requisiti e considerazioni sul prodotto manutentori.		[US: NISTIR 8425]Documentazione 1-e [IEC 62443-4-1]SVV-5
18. Documentazione	18-9. Il produttore deve adottare un processo per individuare i ruoli organizzativi e i soggetti responsabili durante il ciclo di vita del prodotto.		[UE: CRA]Articolo 20 4 [IEC 62443-4-1]SM-2
18. Documentazione	18-10. Il produttore dovrà fornire formazione ai propri dipendenti finalizzati ad acquisire competenze in materia di sicurezza.		[IEC 62443-4-1]SM-4

Per saperne di più sulla conformità normativa per l'Internet delle cose, contatta direttamente il Product Compliance Institute.