Producten
Laatst gecontroleerd op
Producten toont de software, apps en apparaten die je organisatie aan klanten levert, met soort, huidige versie, verantwoordelijke, tot wanneer je ze ondersteunt en hun status.
Waarom dit je organisatie beschermt
Voor wat je op de markt brengt, gelden eigen eisen. Een klant wil weten tot wanneer je een product van beveiligingsupdates voorziet, en wie verantwoordelijk is als er een kwetsbaarheid in zit. Wetgeving zoals de Cyber Resilience Act stelt eisen per product, niet per organisatie. Een lijst van je producten is het begin: daar hangen later de eisen, het bewijs en de afspraken per product aan.
Stappen
- Open Producten in de groep Organisatie.
- Klik op Product aanmaken.
- Vul de Naam in en kies de Soort: software, app, apparaat met software, of component of bibliotheek.
- Vul de Huidige versie in, kies een Verantwoordelijke uit Mensen en vul Ondersteuning tot in: tot wanneer je beveiligingsupdates levert.
- Kies de Status en klik op Aanmaken.
- Open het product en klik onder Componenten op SBOM inlezen om de bibliotheken en onderdelen uit een SBOM (CycloneDX of SPDX, JSON) over te nemen. Een component kun je ook met de hand toevoegen.
- Wordt een kwetsbaarheid bekend, klik dan op het scherm van het product onder Kwetsbaarheden op Kwetsbaarheid aanmaken, kies de ernst en de getroffen componenten, en werk de beoordeling, de maatregel en de data van verhelpen en publiceren bij zodra je verder bent.
- Brengt je een product niet meer op de markt, zet de Status dan op Uit de markt.
De lijst toont per product de Naam met de omschrijving, de Soort, de Huidige versie, de Verantwoordelijke, Ondersteuning tot, de Normen die voor het product zijn ingevoerd en de Status. Je kunt filteren op Soort en Status.
Componenten
Op het scherm van een product staan onder Componenten de bibliotheken en onderdelen waaruit het bestaat, met versie, leverancier, licentie, package URL en herkomst. Met SBOM inlezen neem je ze over uit een SBOM in CycloneDX- of SPDX-formaat. Lees je dezelfde SBOM opnieuw in, dan komt er niets dubbel bij. Staat een component niet meer in een nieuwe SBOM, dan blijft het zichtbaar met de datum waarop het uit het product verdween, zodat je later kunt nagaan wat er op een bepaald moment in zat. Zo weet je bij een nieuwe kwetsbaarheid meteen of een product geraakt kan zijn.
Kwetsbaarheden
Onder Kwetsbaarheden leg je per product vast welke kwetsbaarheden je kent: het kenmerk (zoals een CVE-nummer), waar je het van weet, de ernst, de getroffen componenten, je beoordeling en maatregel, en wanneer je hem verhielp en je gebruikers informeerde. Blijkt je product niet geraakt, zet de status dan op Niet getroffen en schrijf in de beoordeling waarom. Je kiest alleen componenten van hetzelfde product. Wordt een kwetsbaarheid actief uitgebuit, zet dat dan aan: dan geldt de meldplicht van de Cyber Resilience Act, met een eerste waarschuwing aan het CSIRT binnen 24 uur.
Meldingen
Wordt een kwetsbaarheid in een product actief uitgebuit, of raakt een ernstig incident de beveiliging ervan, dan geldt de meldplicht van de Cyber Resilience Act. Bij een actief uitgebuite kwetsbaarheid staat Melding starten; onder Meldingen start je ook een melding over een ernstig incident. Je vult in wanneer je organisatie ervan wist: alle termijnen lopen vanaf dat moment. De vroegtijdige waarschuwing moet binnen 24 uur, de melding binnen 72 uur, en het eindverslag bij een kwetsbaarheid uiterlijk 14 dagen nadat de oplossing beschikbaar is, en bij een ernstig incident binnen een maand na de melding. Trustbird meldt niet zelf aan het CSIRT: met Stap vastleggen leg je per stap vast wanneer je meldde en wat. Ook het informeren van je gebruikers leg je zo vast. De tabel toont per stap tot wanneer hij moet of wanneer hij verstuurd is. Tijden staan in Nederlandse tijd.
De volgende stap van een open melding staat op Vandaag bij iedereen in de workspace. Nadert een termijn, dan krijgen de eigenaren van de workspace en de verantwoordelijke voor het product een mail: 6 uur voor de vroegtijdige waarschuwing, 24 uur voor de melding en 3 dagen voor het eindverslag. Elke stap krijgt één herinnering. Is een termijn al verstreken, dan komt er geen mail, maar staat de stap op Vandaag als te laat.
Een product is iets wat je levert, geen bedrijfsmiddel. Wat je zelf gebruikt, zoals je servers en laptops, staat bij Bedrijfsmiddelen.
Als het niet lukt
Ik zie Product aanmaken niet
Daarvoor heb je bewerkrechten voor de module Organisatie nodig. Eigenaren en leden hebben die; een adviseur alleen als de eigenaar van de workspace ze geeft.
Ik kan een product niet verwijderen
Een product waarvoor een norm is ingevoerd, blijft bewaard, omdat de beoordelingen en het bewijs erbij horen. Zet de Status op Uit de markt.
Ik kan een component uit de SBOM niet bewerken of verwijderen
Een component uit een SBOM volgt de SBOM. Lees een nieuwe SBOM in: wat daar niet meer in staat, blijft zichtbaar als niet meer in het product. Alleen een component dat je met de hand toevoegde, bewerk of verwijder je hier.
De keuzelijst Verantwoordelijke is leeg
De verantwoordelijke kies je uit Mensen. Voeg de persoon daar eerst toe.
Schermen waar dit over gaat
- Producten