Saltar para o conteúdo
folhas.io
secure by design para produtos ligados· âmbito de trabalho

Serviços

Ajudamos a levar um produto do estado de protótipo que funciona ao estado de produto que pode ser vendido na Europa com segurança. O hardware é o veículo. O trabalho a sério é a conformidade, a engenharia de segurança e a prova documental que o CRA exige.

Não descrevemos este trabalho em abstrato. Aplicámo-lo ao nosso próprio produto, em público.

Primeira leitura, sem custo e por escrito

Descreva-nos o produto por email, o que é, o que faz, como se liga e em que fase está, e em cinco dias úteis devolvemos uma nota técnica escrita, de duas páginas, com quatro coisas: a classificação provável no CRA e a razão que a sustenta, o caminho de avaliação de conformidade que daí resulta, as três decisões mais urgentes para esse produto em concreto, e as datas do regulamento que se aplicam ao caso.

Sem chamada e sem reunião. Sem seguimento comercial, a não ser que o peça. A nota é uma amostra do nosso trabalho, e se for útil já sabe onde nos encontrar.

Para que fique claro à partida. A leitura baseia-se apenas na informação que nos enviar. Não é uma auditoria, não é um parecer jurídico e não é uma avaliação de conformidade. Não envie código, credenciais nem documentação confidencial; uma descrição funcional chega bem.

Para pedir: oi@folhas.io com o assunto "Primeira leitura".

Trabalho a partir daí

Análise de conformidade CRA

O ponto de partida de qualquer produto ligado é perceber onde ele está face aos requisitos do Anexo I e o que lhe falta. O relatório vai requisito a requisito, com o estado de cada um, a evidência que o sustenta e a natureza da correção.

  • Cada requisito essencial do Anexo I avaliado contra o produto real
  • Evidência concreta por requisito, e não impressões gerais
  • A natureza de cada correção identificada, seja código, infraestrutura, processo, fabrico ou documentação

a prova: a auditoria completa do nosso próprio protótipo, com as falhas todas à vista

Plano de conformidade e sequência de engenharia

A lista de requisitos está no regulamento. O valor está em saber por que ordem os resolver, porque fazê-lo fora de ordem obriga a repetir trabalho.

  • A sequência do protótipo até ao produto, com as fases e as dependências explícitas
  • Um modelo de custos que inclui a parte do trabalho que não é código
  • O fabrico, a infraestrutura, a documentação e a organização no mesmo plano que o firmware

a prova: o plano em quatro fases aplicado ao nosso produto, e a razão de boa parte do esforço não ser firmware

Engenharia de segurança de firmware e sistema

As correções técnicas concretas, feitas pela ordem que a arquitetura de identidade dos aparelhos impõe.

  • Identidade dos aparelhos, autoridade de chaves e primeiro arranque com segredo próprio por unidade
  • Atualização OTA assinada e verificada, e comunicação cifrada e autenticada
  • Arranque verificado e eliminação segura de dados no fim de vida

a prova: as entradas técnicas do diário, à medida que resolvemos cada uma no nosso próprio produto

Documentação, SBOM e avaliação de conformidade

É a parte que o organismo de avaliação de facto lê, e sem a qual um produto seguro continua na mesma fora do mercado.

  • SBOM gerada no build e arquivada por versão
  • Documentação técnica do Anexo VII e instruções de segurança para o utilizador
  • O processo que sustenta a marcação CE

a prova: as decisões de SBOM e de período de suporte da entrada 001, tomadas antes de existir produto

Divulgação coordenada e resposta a vulnerabilidades

O canal, a política e o processo de resposta, montados antes de aparecer a primeira vulnerabilidade.

  • security.txt, chave PGP e política de divulgação coordenada
  • Processo de triagem e de resposta, com donos definidos
  • Os modelos de notificação do artigo 14.º, ensaiados antes de fazerem falta

a prova: o security.txt deste próprio site é o embrião do que montamos para produtos

O que não fazemos. Não realizamos testes de intrusão em ambientes de produção. O trabalho decorre em ambientes de desenvolvimento e de pré-produção, sobre material fornecido pelo cliente.

Sobre conformidade. A declaração de conformidade é do fabricante e é da sua responsabilidade. Apoiamos na preparação e reduzimos o risco técnico; não garantimos nem podemos garantir o resultado de uma avaliação.

Âmbito e valores são definidos por proposta, depois de uma primeira conversa técnica sobre o produto e a fase em que está.

Além da consultoria, desenvolvemos o Aeromate, o nosso próprio ecossistema de controlo ambiental, que serve de caso de estudo público a todo este trabalho.

Não sabe qual destes se aplica ao seu caso? Descreva o produto e a fase em que está, e dizemos-lhe com franqueza se e onde fazemos falta. oi@folhas.io