Servicios
Ayudamos a llevar un producto del estado de prototipo que funciona al estado de producto que puede venderse en Europa con seguridad. El hardware es el vehículo. El trabajo de verdad es la conformidad, la ingeniería de seguridad y la prueba documental que exige el CRA.
Aplicamos este trabajo a nuestro propio producto, en público.
Primera lectura, sin coste y por escrito
Descríbanos el producto por email, qué es, qué hace, cómo se conecta y en qué fase está, y en cinco días laborables devolvemos una nota técnica escrita, de dos páginas, con cuatro cosas: la clasificación probable en el CRA y la razón que la sustenta, el camino de evaluación de la conformidad que resulta de ella, las tres decisiones más urgentes para ese producto en concreto, y las fechas del reglamento que se aplican al caso.
Sin llamada y sin reunión. Sin seguimiento comercial, salvo que lo pida. La nota es una muestra de nuestro trabajo, y si le resulta útil ya sabe dónde encontrarnos.
Para que quede claro desde el principio. La lectura se basa únicamente en la información que nos envíe. No es una auditoría, no es un dictamen jurídico y no es una evaluación de la conformidad. No envíe código, credenciales ni documentación confidencial; con una descripción funcional basta.
Para pedirla: oi@folhas.io con el asunto "Primera lectura".
El trabajo a partir de ahí
- Análisis de conformidad CRA
El punto de partida de cualquier producto conectado es entender dónde está frente a los requisitos del Anexo I y qué le falta. El informe va requisito a requisito, con el estado de cada uno, la evidencia que lo sustenta y la naturaleza de la corrección.
- Cada requisito esencial del Anexo I evaluado contra el producto real
- Evidencia concreta para cada requisito
- La naturaleza de cada corrección identificada, sea código, infraestructura, proceso, fabricación o documentación
la prueba: la auditoría completa de nuestro propio prototipo, con todos los fallos a la vista
para leer: la guía del CRA para fabricantes · la clasificación del producto
- Plan de conformidad y secuencia de ingeniería
Define en qué orden resolver los requisitos del reglamento, porque resolverlos fuera de orden obliga a repetir trabajo.
- La secuencia del prototipo hasta el producto, con las fases y las dependencias explícitas
- Un modelo de costes que incluye la parte del trabajo que no es código
- La fabricación, la infraestructura, la documentación y la organización en el mismo plan que el firmware
- Ingeniería de seguridad de firmware y de sistema
Las correcciones técnicas concretas, hechas en el orden que impone la arquitectura de identidad de los aparatos.
- Identidad de los aparatos, autoridad de claves y primer arranque con secreto propio por unidad
- Actualización OTA firmada y verificada, y comunicación cifrada y autenticada
- Arranque verificado y borrado seguro de datos al final de la vida útil
la prueba: las entradas técnicas del diario, a medida que resolvemos cada una en nuestro propio producto
- Documentación, SBOM y evaluación de la conformidad
Es la parte que la autoridad de vigilancia del mercado puede exigir y que el organismo notificado lee cuando el camino de evaluación pasa por él. Sin ella, un producto seguro sigue igualmente fuera del mercado.
- SBOM generada en el build y archivada por versión
- Documentación técnica del Anexo VII e instrucciones de seguridad para el usuario
- El proceso que sustenta el marcado CE
la prueba: las decisiones de SBOM y de período de soporte de la entrada 001, tomadas antes de existir producto
para leer: SBOM para firmware embebido · el período de soporte
- Divulgación coordinada y respuesta a vulnerabilidades
El canal, la política y el proceso de respuesta, montados antes de que aparezca la primera vulnerabilidad.
- security.txt, clave PGP y política de divulgación coordinada
- Proceso de triaje y de respuesta, con responsables definidos
- Las plantillas de notificación del artículo 14, ensayadas antes de hacer falta
para leer: la divulgación coordinada · las notificaciones de 24 h y 72 h
Evaluaciones ofensivas
Venimos del pentest y del red team, y esa es la mirada que aplicamos a los productos. Estas evaluaciones son el mismo oficio, con ámbito, autorización y reglas de intervención por escrito antes de cualquier acción.
- Pentest whitebox de firmware, sistema y aplicación
Con acceso al código, a los binarios y a la arquitectura, seguimos el camino que tomaría un atacante y mostramos hasta dónde llega. En entornos de desarrollo y de preproducción, sobre material facilitado por el cliente.
- Modelado de amenazas y revisión de arquitectura
Antes de que haya código que atacar: los activos, los caminos de ataque plausibles y las decisiones de diseño que los cierran, en la fase en que todavía son baratas.
- Intrusión física en instalaciones
Un intento autorizado de entrar en las instalaciones y llegar a un activo definido (una sala, un armario de red, un puesto de trabajo), con el informe del camino recorrido, de lo que lo hizo posible y de las correcciones, del control de accesos al comportamiento de las personas. Cuatro patrones que encontramos, en ejemplos construidos.
Lo que no hacemos. No realizamos pruebas de intrusión sobre sistemas informáticos en producción. El trabajo técnico transcurre en entornos de desarrollo y de preproducción, sobre material facilitado por el cliente.
Intrusión física, para que quede claro. Solo con autorización escrita de quien tiene potestad sobre las instalaciones, ámbito, horarios y activos objetivo definidos, una carta de autorización con contacto de emergencia que lleva quien ejecuta, y reglas que excluyen daños y cualquier riesgo para las personas. La cobertura de seguro aplicable se confirma antes de cada intervención.
Sobre la conformidad. La declaración de conformidad es del fabricante y es su responsabilidad. Apoyamos la preparación y reducimos el riesgo técnico; no garantizamos ni podemos garantizar el resultado de una evaluación.
Ámbito y precios se definen por propuesta, tras una primera conversación técnica sobre el producto y la fase en la que está.
Además de la consultoría, desarrollamos Aeromate, nuestro propio ecosistema de control ambiental, que sirve de caso de estudio público de todo este trabajo.
¿No sabe cuál de estos se aplica a su caso? Describa el producto y la fase en la que está, y le diremos con franqueza si hacemos falta y dónde. oi@folhas.io