TLDR: Aikido ajuda-o a cumprir a Lei de Ciber-Resiliência. Também ajudamos a automatizar políticas de segurança e verificações de conformidade para SOC2, ISO27001, CIS e NIS2.
Aqui, explicamos a importância da Lei de Ciber-Resiliência como Aikido a cumpri-la.
O que é a Lei de Ciber-Resiliência por que ela é importante para a segurança de software?
A Lei de Ciber-Resiliência CRA) é um regulamento da União Europeia (UE), em vigor a partir de dezembro de 2024, que estabelece requisitos básicos de cibersegurança e conformidade para todos os produtos com elementos digitais — incluindo os seus componentes básicos (hardware e software) — vendidos na UE. Isto inclui produtos Software-as-a-Service (SaaS) que se qualificam como soluções de processamento remoto de dados. Tem impacto em todos os fabricantes que vendem na União Europeia, não apenas nas empresas sediadas na UE.
Isso coloca a responsabilidade pela prevenção de falhas de segurança cibernética sobre os fabricantes, com penalidades significativas por não conformidade - até € 15 milhões ou 2,5% do faturamento global. Os produtos devem, portanto, ser construídos desde o início com a segurança em mente.
O regulamento visa fornecer diretrizes claras para os afetados — mas se fosse claro, não estaria a ler esta página, então vamos explicar tudo para si.
Por que a Lei de Ciber-Resiliência foi Lei de Ciber-Resiliência ?
A Comissão Europeia concebeu a CRA para proteger os consumidores e as empresas que compram produtos com elementos digitais porque, francamente, muitos produtos ligados à Internet (também conhecidos como Internet das Coisas) não são atualizados e, portanto, não são seguros. Na verdade, um dos maiores ataques DDoS registados foi o botnet Mirai (ataque Dyn), que transformou dispositivos IoT não seguros num exército de máquinas de ataque. Outra questão a resolver pela UE era a crescente dificuldade dos consumidores e das empresas em saber quais os produtos seguros quando compram algo.
A CRA garante que o software e os dispositivos conectados estejam atualizados, seguros e resistentes a ataques cibernéticos. Muitos produtos têm sido historicamente comercializados com vulnerabilidades conhecidas, alimentando ataques à Supply chain em grande escala ataques à Supply chain. A CRA pretende mudar isso.
Como a conformidade com a CRA afeta os programadores e as equipas de segurança
Se faz parte de uma equipa de engenharia ou segurança, isso tem um grande impacto, porque muda a forma como concebe, constrói, testa e distribui software. Desde gerenciamento de vulnerabilidades à resposta a incidentes, a conformidade significa incorporar a segurança desde a conceção no seu ciclo de vida de desenvolvimento.
Como Aikido simplifica os requisitos de conformidade da CRA
A CRA lista requisitos rigorosos para os fabricantes, desde a verificação de vulnerabilidades e SBOM até a resiliência contra ataques DoS. Aikido você Aikido atender a esses requisitos com verificação de segurança automatizada, proteção em tempo de execução e relatórios de conformidade em um sistema central.
Aqui está uma análise mais aprofundada de como Aikido a cumprir requisitos específicos:
Os produtos devem fornecer um nível adequado de segurança cibernética com base nos riscos
Aikido a monitorizar continuamente o seu código, nuvem e tempo de execução contra riscos conhecidos. Isso fornece uma boa visão geral da postura de segurança.
Os produtos devem ser entregues sem nenhuma vulnerabilidade explorável conhecida
É aqui que Aikido essencial; Aikido vários scanners que procuram vulnerabilidades. Estes incluem SAST - análise do seu código-fonte em busca de vulnerabilidades de segurança, análise de composição de software SCA) - análise de vulnerabilidades de dependências de código aberto, análise de máquinas virtuais (instâncias AWS EC2), DAST, gestãosegurança na nuvem (CSPM) - verificações de configuração incorreta na nuvem, análise de API, Secrets , Container , análise de infraestrutura como código (IaC), análise de malware e análise de licenças de código aberto.
E antes de entregar qualquer produto, Aikido o Zen, que é uma autoproteção de aplicações em tempo de execução, que protege uma aplicação fornecendo um firewall incorporado no aplicativo. Isto deteta ameaças à medida que a sua aplicação é executada, impede ataques como zero-days em tempo real e bloqueia automaticamente ataques de injeção críticos. Ao instalar o Zen, não precisa de se preocupar com novas vulnerabilidades.
Os produtos devem proteger a disponibilidade de funções essenciais, incluindo a resiliência contra ataques de negação de serviço e a mitigação desses ataques. O ZenAikido
Aikidopode filtrar o tráfego malicioso na borda e aplicar rate limiting, ajudando a mitigar ataques DoS/DDoS. Ele reduz o raio de ação de ataques volumétricos ou de esgotamento de recursos antes que eles atinjam a lógica da aplicação.
Os produtos devem minimizar o impacto negativo na disponibilidade dos serviços prestados por outros dispositivos ou redes.
Aikido pode garantir que os serviços comprometidos não propaguem tráfego abusivo para o exterior.
Os produtos devem ser concebidos, desenvolvidos e produzidos de forma a limitar as superfícies de ataque, incluindo interfaces externas.
Ao identificar serviços expostos, código inseguro e dependências vulneráveis, Aikido reduzir as superfícies de ataque. Os testes de penetração autónomos sondam interfaces e pontos finais de forma dinâmica, ajudando a identificar exposições inesperadas.
Produtos concebidos, desenvolvidos e produzidos para reduzir o impacto de um incidente utilizando mecanismos e técnicas adequados de mitigação de exploração.
Ao detetar bibliotecas vulneráveis ou práticas de codificação inseguras numa fase inicial através da qualidade Aikido , Aikido reduz Aikido a explorabilidade. Os nossos testes de penetração autónomos validam se as mitigacões (por exemplo, regras WAF, sandboxing, deserialização segura) realmente impedem explorações no mundo real. Enquanto isso, DAST validar se as defesas de tempo de execução realmente funcionam e, essencialmente, informar se a verificação é (ou não) eficaz sob ataque. Ao simular tentativas de exploração, ele verifica que, mesmo que exista uma vulnerabilidade, os controlos compensatórios podem limitar os danos.
As vulnerabilidades podem ser resolvidas através de atualizações de segurança, incluindo, quando aplicável, atualizações automáticas e notificação aos utilizadores sobre as atualizações disponíveis.
Aikido monitoriza Aikido novas vulnerabilidades nas suas dependências e alerta-o, ajudando-o a garantir que as atualizações sejam aplicadas prontamente.
Os fabricantes devem identificar e documentar as vulnerabilidades e os componentes contidos no produto, incluindo a elaboração de uma lista de materiais de software SBOM) num formato comum e legível por máquina, abrangendo, no mínimo, as dependências de nível superior do produto.
Pode utilizar Aikido exportar uma lista de materiais de software completa lista de materiais de software SBOM) no CycloneDX ou SPDX com um clique. Isso fornece um inventário completo de todos os pacotes e suas licenças para auditorias e transparência.
Em relação aos riscos apresentados aos produtos com elementos digitais, trate e corrija as vulnerabilidades sem demora, incluindo o fornecimento de atualizações de segurança.
Aikido a melhor opção para reduzir o tempo de correção, pois as nossas verificações reduzem o ruído (falsos positivos) em 95%. Além disso, a nossa ferramenta Testes de segurança de aplicações estáticas SAST) pode excluir a possibilidade de exploração e, quando isso não é possível, ela classifica automaticamente os alertas para que você possa priorizá-los.
Além disso, podemos corrigir várias questões automaticamente com um clique, através da nossa funcionalidade AutoFix. Sabemos, através da nossa própria pesquisa com programadores, AppSec e CISOs na Europa e nos EUA, que 79% das organizações já utilizam AI autofix para vulnerabilidades, com outros 18% interessados em fazê-lo.
As conclusões da nossa nova solução autónoma de testes de penetração também podem ser integradas em pipelines de correção, facilitando a validação da eficácia das correções.
Aplique testes e revisões eficazes e regulares da segurança do produto com elementos digitais.
Aikido em breveAikido testes de penetração autónomos que são mais completos e eficientes do que as alternativas manuais, permitindo que as organizações realizem testes automatizados sob demanda ou de forma contínua. (Isso transforma testes de penetração que levam semanas em avaliações que levam menos de uma hora). Separadamente, Aikido automatiza os testes de segurança em cada alteração ou compilação de código, garantindo revisões contínuas.
Além da ISO27001, NIS2 e DORA: o que a CRA acrescenta
Muitas organizações já estão em conformidade com estruturas como ISO27001, NIS2 ou DORA. Estas focam-se principalmente na forma como a sua empresa gere a segurança ao nível organizacional (políticas, gestão de riscos, resposta a incidentes e relatórios). Aikido fornece relatórios de conformidade dentro da sua plataforma para:
- Conformidade com a norma ISO 27001:2022
- Conformidade com SOC2
- Top 10 OWASP
- Conformidade com a CIS
- conformidade NIS2
- Conformidade com a norma NIST 800-53
- Conformidade com PCI
- Conformidade com a HIPAA
- Conformidade com a DORA
- Conformidade com HITRUST LVL3
- Conformidade com a ENS
- GDPR
A Lei de Ciber-Resiliência CRA) é diferente. Ela introduz obrigações de segurança ao nível do produto, o que significa que a regulamentação se aplica diretamente aos produtos digitais que você cria e vende. A conformidade não se resume apenas a provar que você tem os processos corretos em vigor, mas também a provar que o seu produto em si é seguro:
- Deve ser enviado sem vulnerabilidades conhecidas.
- Deve incluir um SBOM
- Deve ser resiliente a ataques (por exemplo, DoS/DDoS)
- Deve receber atualizações de segurança contínuas
- Deve ser testado regularmente para detectar falhas exploráveis.
Esses são requisitos relativos ao próprio produto, não apenas ao sistema de gestão de segurança da sua empresa.
Outras ferramentas de segurança que pode precisar para estar em total conformidade com a CRA
Enquanto Aikido segurança de código, nuvem e tempo de execução num sistema central, o CRA também aborda gestão de identidades, encriptação, proteção de dados e segurança de rede. Dependendo do seu ambiente, poderá precisar de ferramentas complementares, como IAM, controlos criptográficos ou soluções de recuperação de desastres, juntamente com Aikido.
FAQ
Conclusão
A Lei de Ciber-Resiliência um novo padrão para software seguro na Europa. A conformidade não é mais opcional. Para as equipas de engenharia e segurança, isso significa construir com a segurança no centro e provar que os seus produtos atendem aos requisitos da CRA.
Aikido torna isso simples. Do código à nuvem e ao tempo de execução, Aikido varredura automatizada, qualidade de código, SBOM , testes de penetração e proteção em tempo de execução uma única plataforma. Sem ter de lidar com várias ferramentas. Sem ruído extra. Apenas caminhos mais rápidos para a conformidade e produtos mais seguros.
Pronto para ver como Aikido o Aikido cumprir os requisitos da CRA?
Marque uma demonstração e comece a criar software seguro sem atrasar a sua equipa.
Proteja seu software agora
.avif)
