En virtud de la CRA, los fabricantes de productos con elementos digitales deben notificar a la ENISA y al CSIRT nacional designado una alerta temprana en un plazo de 24 horas tras tener conocimiento de una vulnerabilidad explotada activamente o de un incidente de seguridad grave, seguida de una notificación completa en un plazo de 72 horas y de un informe final en un plazo de 14 días desde que esté disponible una medida correctiva o un parche para las vulnerabilidades explotadas, o en el plazo de un mes cuando se presenten notificaciones de incidentes graves.

La preparación de Moxa se basa en un ciclo de vida de desarrollo seguro (SDL) validado. Como uno de los primeros proveedores en obtener la doble certificación de nivel de madurez 3 (ML3) según la norma IEC 62443-4-1, tanto de la IECEE como de ISCI/ISASecure, Moxa ha demostrado que sus procesos de seguridad de productos son repetibles y se aplican de forma coherente en toda la organización. Estas capacidades proporcionan una base sólida para cumplir con las obligaciones de ciberseguridad posteriores a la comercialización establecidas por la CRA.

Cumplir con los requisitos de notificación en un plazo de 24 horas de la CRA va más allá de la respuesta a incidentes; requiere un marco integrado de gobernanza de la ciberseguridad. Esto permite a los fabricantes identificar rápidamente los productos afectados, evaluar el impacto en la ciberseguridad y coordinar a los equipos de ingeniería para tomar decisiones normativas oportunas.
Moxa ha implementado una gestión integral de vulnerabilidades para dar respuesta a estas necesidades, que incluye:
Un equipo maduro de respuesta a incidentes de seguridad de productos (PSIRT) capaz de validar, evaluar y coordinar rápidamente las respuestas ante vulnerabilidades.
Una gestión integral de la lista de materiales de software (SBOM) que permite a los equipos de ingeniería identificar rápidamente los componentes de software, productos y versiones de firmware afectados.
Trazabilidad de los productos de extremo a extremo, que abarca la composición del software, las versiones de firmware y los registros del ciclo de vida.
Un SDL que proporciona una trazabilidad completa de la ingeniería y procesos disciplinados de corrección de vulnerabilidades.
Procedimientos de gobernanza bien definidos que alinean la ingeniería, la gestión de productos, la ciberseguridad, los aspectos legales y la toma de decisiones ejecutiva para la presentación oportuna de informes reglamentarios.
Para reforzar la notificación de vulnerabilidades, Moxa está mejorando sus capacidades mediante la integración de datos de la SBOM con las bases de datos de productos. Cuando se añaden nuevas vulnerabilidades al catálogo de vulnerabilidades conocidas explotadas (KEV), nuestro PSIRT puede correlacionar rápidamente los datos, evaluar el impacto, priorizar las respuestas y garantizar el cumplimiento oportuno de la CRA.

«Cumplir con el requisito de notificación en 24 horas de la CRA no es solo una carrera contra el reloj; también pone de manifiesto la madurez de una organización en materia de ciberseguridad y el resultado visible de años de inversión en la gobernanza de la ciberseguridad», afirmó John Chang, director de Gestión de I+D y del Centro de Seguridad de Productos de Moxa. «Los proveedores como Moxa, que cumplen sistemáticamente con esta obligación, han establecido una gobernanza de ingeniería, prácticas de desarrollo seguro, procesos de gestión de vulnerabilidades y una coordinación interfuncional que les permiten identificar rápidamente los productos afectados, evaluar los riesgos de ciberseguridad, coordinar las respuestas de ingeniería y proporcionar información precisa a los organismos reguladores».

Para los fabricantes de maquinaria, los integradores de sistemas y los operadores de infraestructuras críticas, asociarse con proveedores que cuentan con esta capacidad les da la confianza de que su proveedor no solo ofrece productos seguros en la actualidad, sino que también está preparado para gestionar los riesgos cibernéticos emergentes en los próximos años.

A medida que la CRA redefine la responsabilidad en materia de ciberseguridad en la industria, Moxa hace hincapié en que la confianza se medirá tanto por las características de seguridad del producto como por el compromiso del fabricante con la ciberseguridad a lo largo de todo el ciclo de vida del producto. Mediante la implementación de prácticas certificadas de SDL, una gestión eficaz de las vulnerabilidades, operaciones PSIRT, gobernanza de la SBOM y procesos transparentes, Moxa ayuda a los clientes a mitigar los riesgos de ciberseguridad y a simplificar el cumplimiento normativo tras la comercialización en el marco de la CRA.

Para obtener más información sobre el compromiso de Moxa con la preparación para la CRA, visite el Portal de Moxa sobre la Ley de Ciberresiliencia (CRA).