Sözlük

CRA ve gömülü güvenlik sözlüğü

CRA uyumu ve ürün güvenliği konuşulurken sık geçen terimlerin kısa tanımları. Her terimin kendi bağlantısı var; rehberlerden buraya bağlantı veriyoruz.

Mevzuat ve roller

CRA (Siber Dayanıklılık Yasası): Yönetmelik (AB) 2024/2847. AB pazarındaki dijital unsurlu ürünler için ortak siber güvenlik gereksinimlerini belirler. Ayrıntılar için CRA rehberi.
Dijital unsurlu ürün: Bir cihaza ya da ağa doğrudan veya dolaylı olarak veri bağlantısı kurabilen yazılım ya da donanım ürünü ve uzaktan veri işleme çözümleri (Madde 3(1)).
Üretici: Dijital unsurlu ürünü geliştiren ya da ürettiren ve kendi adı veya markasıyla piyasaya sunan kişi ya da kuruluş. CRA yükümlülüklerinin çoğu üreticidedir.
İthalatçı: AB'de yerleşik olup AB dışındaki bir üreticinin ürününü AB pazarına arz eden kişi ya da kuruluş (Madde 19).
Yetkili temsilci: Üreticinin yazılı yetkisiyle onun adına belirli görevleri yürüten, AB'de yerleşik kişi ya da kuruluş. CRA'da atanması isteğe bağlıdır (Madde 18).
Önemli ürün (Sınıf I ve II): Ek III'te sayılan, temel işlevi siber güvenlik açısından daha yüksek risk taşıyan ürünler. Bkz. ürün sınıfları.
Kritik ürün: Ek IV'te sayılan ürünler: güvenlik kutulu donanım cihazları, akıllı sayaç ağ geçitleri, akıllı kartlar ve secure element'ler.
Onaylanmış kuruluş (notified body): Üye devlet tarafından Komisyona bildirilen ve üçüncü taraf uygunluk değerlendirmesi yapmaya yetkili kuruluş.
Uyumlaştırılmış standart: Referansı AB Resmi Gazetesi'nde yayımlanan Avrupa standardı. Uygulanması, kapsadığı gereksinimlere uygunluk karinesi sağlar.
AB uygunluk beyanı: Üreticinin, ürünün temel gereksinimleri karşıladığını beyan ettiği belge (Madde 28, Ek V).
CE işareti: Ürünün ilgili AB mevzuatına uygun olduğunu gösteren işaret. CRA kapsamındaki ürünlerde uygunluk değerlendirmesinden sonra iliştirilir (Madde 30).
Teknik dokümantasyon: Ürünün gereksinimleri nasıl karşıladığını gösteren dosya (Ek VII): tasarım, risk değerlendirmesi, zafiyet yönetimi süreçleri, SBOM ve test raporları. 10 yıl ya da destek süresi boyunca saklanır.
Destek süresi: Üreticinin zafiyetleri etkin biçimde yönetmeyi taahhüt ettiği süre. Ürünün beklenen kullanım süresini yansıtır ve genellikle en az beş yıldır (Madde 13(8)).

Bildirim ve olay yönetimi

Aktif istismar edilen zafiyet: Kötü niyetli bir aktörün izin almadan bir sistemde istismar ettiğine dair güvenilir kanıt bulunan zafiyet (Madde 3(42)). Bildirimi zorunludur, bkz. Madde 14.
Ciddi olay: Ürünün güvenliğini etkileyen ve verilerin ya da işlevlerin korunmasını olumsuz etkileyen veya kötü amaçlı kodun çalışmasına yol açan olay (Madde 14(5)).
CSIRT (koordinatör): Bilgisayar güvenliği olaylarına müdahale ekibi. CRA bildirimleri, üye devletin koordinatör olarak atadığı CSIRT'e ve ENISA'ya gider.
ENISA SRP: ENISA'nın Tek Raporlama Platformu. Madde 14 bildirimlerinin yapıldığı portal; bildirimi koordinatör CSIRT'e ve ENISA'ya aynı anda iletir.
Koordineli zafiyet açıklaması (CVD): Zafiyet bulan kişinin üreticiye bildirdiği, düzeltme hazır olana kadar ayrıntıların paylaşılmadığı süreç. CRA, üreticiden bir CVD politikası ister.
security.txt: Bir sitenin güvenlik iletişim bilgilerini standart bir adreste (/.well-known/security.txt) yayımlayan dosya (RFC 9116).

SBOM ve zafiyet verisi

SBOM (yazılım malzeme listesi): Bir yazılımın ya da firmware'in içindeki bileşenlerin, sürümlerinin ve bağımlılıklarının makinece okunabilir listesi. CRA Ek I Bölüm II(1) en azından üst düzey bağımlılıkları kapsayan bir SBOM ister. Bkz. SBOM nedir.
CycloneDX: OWASP tarafından geliştirilen, güvenlik odaklı SBOM formatı. Zafiyet ve VEX bilgisini de taşıyabilir.
SPDX: Linux Foundation tarafından geliştirilen, ISO/IEC 5962 olarak standartlaşmış SBOM formatı; lisans bilgisinde güçlüdür.
VEX: Vulnerability Exploitability eXchange. Bir zafiyetin üründe gerçekten istismar edilebilir olup olmadığını (etkilenmiyor, etkileniyor, düzeltildi, inceleniyor) bildiren belge.
CSAF: Common Security Advisory Framework. Güvenlik bültenlerini ve VEX bilgisini makinece okunabilir biçimde yayımlamak için OASIS standardı.
OpenVEX: VEX bilgisini sade bir JSON biçiminde taşıyan açık format.
CVE: Kamuya açık zafiyetlere verilen benzersiz kimlik (ör. CVE-2024-3094).
CPE: Ürün ve yazılımları adlandırmak için kullanılan standart; NVD zafiyet kayıtları CPE ile eşleştirilir.
PURL (package URL): Bir yazılım paketini ekosistemi, adı ve sürümüyle tanımlayan adres biçimi (ör. pkg:npm/lodash@4.17.21).
OSV: Açık kaynak zafiyet veritabanı ve formatı; paket adı ve sürümüyle sorgulanabilir.
NVD: ABD Ulusal Zafiyet Veritabanı; CVE kayıtlarına CVSS puanı ve CPE eşlemesi ekler.
CVSS: Bir zafiyetin teknik ciddiyetini 0–10 arasında puanlayan sistem.
EPSS: Exploit Prediction Scoring System. Bir zafiyetin önümüzdeki 30 günde istismar edilme olasılığını tahmin eder (FIRST).
CISA KEV: ABD CISA'nın, istismar edildiği bilinen zafiyetler kataloğu. Önceliklendirmede güçlü bir sinyaldir; CRA'daki "aktif istismar" kararını ise üretici verir.

Cihaz güvenliği

Güvenli önyükleme (secure boot): Cihazın yalnızca imzası doğrulanan yazılımı çalıştırmasını sağlayan mekanizma.
OTA güncelleme: Firmware'in uzaktan, ağ üzerinden güncellenmesi. CRA, güvenlik güncellemelerinin güvenli biçimde ve mümkünse otomatik dağıtılmasını ister.
A/B bölüm: Firmware'in iki ayrı bölümde tutulduğu düzen. Güncelleme boştaki bölüme yazılır; yeni sürüm açılmazsa cihaz eski sürüme döner.
Anti-rollback: Cihazın, bilinen zafiyetleri içeren eski bir firmware sürümüne geri döndürülmesini engelleyen sayaç mekanizması.
Donanım güven kökü: Cihazdaki güvenlik zincirinin başladığı, değiştirilemeyen donanım ve kod (ör. ROM'daki önyükleyici ve eFuse'ta saklanan anahtar özeti).
Secure element: Anahtarları ve kriptografik işlemleri fiziksel saldırılara karşı koruyan ayrı güvenlik çipi.
PUF: Physically Unclonable Function. Çipin üretimdeki mikroskobik farklılıklarından türetilen, kopyalanamayan bir kimlik ya da anahtar.