Servicios
Ayudamos a llevar un producto del estado de prototipo que funciona al estado de producto que puede venderse en Europa con seguridad. El hardware es el vehículo. El trabajo de verdad es la conformidad, la ingeniería de seguridad y la prueba documental que exige el CRA.
No describimos este trabajo en abstracto. Lo aplicamos a nuestro propio producto, en público — el diario está en portugués.
Primera lectura, sin coste y por escrito
Descríbanos el producto por email, qué es, qué hace, cómo se conecta y en qué fase está, y en cinco días laborables devolvemos una nota técnica escrita, de dos páginas, con cuatro cosas: la clasificación probable en el CRA y la razón que la sustenta, el camino de evaluación de la conformidad que resulta de ella, las tres decisiones más urgentes para ese producto en concreto, y las fechas del reglamento que se aplican al caso.
Sin llamada y sin reunión. Sin seguimiento comercial, salvo que lo pida. La nota es una muestra de nuestro trabajo, y si le resulta útil ya sabe dónde encontrarnos.
Para que quede claro desde el principio. La lectura se basa únicamente en la información que nos envíe. No es una auditoría, no es un dictamen jurídico y no es una evaluación de la conformidad. No envíe código, credenciales ni documentación confidencial; con una descripción funcional basta.
Para pedirla: oi@folhas.io con el asunto "Primera lectura".
El trabajo a partir de ahí
- Análisis de conformidad CRA
El punto de partida de cualquier producto conectado es entender dónde está frente a los requisitos del Anexo I y qué le falta. El informe va requisito a requisito, con el estado de cada uno, la evidencia que lo sustenta y la naturaleza de la corrección.
- Cada requisito esencial del Anexo I evaluado contra el producto real
- Evidencia concreta por requisito, y no impresiones generales
- La naturaleza de cada corrección identificada, sea código, infraestructura, proceso, fabricación o documentación
la prueba: la auditoría completa de nuestro propio prototipo, con todos los fallos a la vista
- Plan de conformidad y secuencia de ingeniería
La lista de requisitos está en el reglamento. El valor está en saber en qué orden resolverlos, porque hacerlo fuera de orden obliga a repetir trabajo.
- La secuencia del prototipo hasta el producto, con las fases y las dependencias explícitas
- Un modelo de costes que incluye la parte del trabajo que no es código
- La fabricación, la infraestructura, la documentación y la organización en el mismo plan que el firmware
- Ingeniería de seguridad de firmware y de sistema
Las correcciones técnicas concretas, hechas en el orden que impone la arquitectura de identidad de los aparatos.
- Identidad de los aparatos, autoridad de claves y primer arranque con secreto propio por unidad
- Actualización OTA firmada y verificada, y comunicación cifrada y autenticada
- Arranque verificado y borrado seguro de datos al final de la vida útil
la prueba: las entradas técnicas del diario, a medida que resolvemos cada una en nuestro propio producto
- Documentación, SBOM y evaluación de la conformidad
Es la parte que el organismo de evaluación de verdad lee, y sin la cual un producto seguro sigue igualmente fuera del mercado.
- SBOM generada en el build y archivada por versión
- Documentación técnica del Anexo VII e instrucciones de seguridad para el usuario
- El proceso que sustenta el marcado CE
la prueba: las decisiones de SBOM y de período de soporte de la entrada 001, tomadas antes de existir producto
- Divulgación coordinada y respuesta a vulnerabilidades
El canal, la política y el proceso de respuesta, montados antes de que aparezca la primera vulnerabilidad.
- security.txt, clave PGP y política de divulgación coordinada
- Proceso de triaje y de respuesta, con responsables definidos
- Las plantillas de notificación del artículo 14, ensayadas antes de hacer falta
la prueba: el security.txt de este propio sitio es el embrión de lo que montamos para productos
Lo que no hacemos. No realizamos pruebas de intrusión en entornos de producción. El trabajo transcurre en entornos de desarrollo y de preproducción, sobre material facilitado por el cliente.
Sobre la conformidad. La declaración de conformidad es del fabricante y es su responsabilidad. Apoyamos la preparación y reducimos el riesgo técnico; no garantizamos ni podemos garantizar el resultado de una evaluación.
Ámbito y precios se definen por propuesta, tras una primera conversación técnica sobre el producto y la fase en la que está.
Además de la consultoría, desarrollamos Aeromate, nuestro propio ecosistema de control ambiental, que sirve de caso de estudio público de todo este trabajo.
¿No sabe cuál de estos se aplica a su caso? Describa el producto y la fase en la que está, y le diremos con franqueza si hacemos falta y dónde. oi@folhas.io