GSS 資安電子報 0243 期【針對歐盟 CRA 培養「Secure by Design」的能力】

SCW：接軌歐盟《CRA》的專屬學習路徑

歐盟《2024 年網路韌性法案》（Cyber Resilience Act，簡稱 CRA）是一項新法規，針對在歐盟市場銷售、具備數位元件的大多數產品，訂定強制性的資安要求。CRA 旨在提升此類產品的整體資安標準，並要求製造商、進口商、經銷商及零售商，必須確保產品在整個生命週期中的網路安全。Secure Code Warrior 透過與 CRA 要求接軌的 Quests 以及概念式學習模組，協助企業強化 CRA 合規準備，幫助開發團隊建立符合 CRA 安全開發原則的「Secure by Design」思維、落實安全軟體開發生命週期（SDLC）實務，並提升安全程式碼撰寫能力。

認識《Cyber Resilience Act 2024》（CRA）

《Cyber Resilience Act 2024》（CRA）確保所有投放至歐盟市場且具備數位元件的產品，在其整個生命週期內皆能維持安全性。這項法案強化企業對於安全架構設計、安全開發實務，以及跨團隊弱點管理機制的重視與落實。CRA 的重要合規時程包括：2026 年 9 月（漏洞通報義務正式生效）以及 2027 年 12 月（所有適用範圍內產品須全面符合規範）。因此，組織及早啟動合規準備與能力建置，已成為關鍵課題。

CRA 是否適用於您的組織？

• 具備數位元件之產品製造商
• 將產品投放至歐盟市場的進口商、經銷商與零售商
• 使用 CRA 合規產品的關鍵基礎設施提供者
• 仰賴安全數位元件的核心服務提供者

可能納管的產品範圍：

• 軟體應用程式與作業系統
• 物聯網（IoT）及連網裝置
• 嵌入式系統與智慧家庭系統
• 網路設備與工業控制系統（ICS）

SCW 如何協助您進行 CRA 合規準備？

Secure Code Warrior 提供實務能力培訓，與 CRA 所引用的「Secure by Design」及軟體開發生命週期（SDLC）原則相對應。透過與 CRA 接軌的 Quests 及概念式學習模組，團隊能強化安全程式設計習慣、提升對架構與設計安全的認知，並更有效地處理弱點。SCW 並不提供合規認證，但能透過結構化學習與可衡量的能力提升，支援組織達成 CRA 合規。

SCW 提供的 CRA 支援內容

Secure Code Warrior 採用混合式學習（Blended Learning）方式，契合 CRA 對流程導向資安的重視。
團隊不僅能獲得概念性知識，還能透過在程式碼中修補真實弱點的實作練習，累積實務經驗。

價值與效益

• CRA 合規學習資源：內容結構化且指派方便，並精準對應 CRA 規範要求。
• Secure by Design 技能：提供開發團隊建立「具韌性軟體」所需的概念與實作知識。
• 導入快速：CRA 學習資源可立即整合至您的年度培訓計畫。

Quests 中的 CRA 標準對接

透過部署 CRA 標準 Quests，即可提供一條結構化且接軌 CRA 的學習路徑，將 Secure by Design 概念與高優先順序的弱點議題結合。每位學習者可於每個單元中，自行選擇最多兩個與程式語言相關的弱點議題，以確保學習內容切身相關。此對應關係專注於法案附錄 I 第一部分（Annex I, Part I）所列出的技術性與語言層級弱點要求。

CRA Secure by Design 概念學習模組

CRA 規範中更廣泛的程序性要求與相關章節，均已納入我們的概念學習課程。我們提供微學習單元（Bite-size topics），內容涵蓋安全架構、SDLC 基礎、設計原則、開源軟體與供應鏈安全、威脅建模，以及安全程式設計入門。

其他與 CRA 相關的 SCW 推薦學習主題：

• Introduction to the Cyber Resilience Act 2024
• Foundations of Software Security
• Open-Source Software (OSS)
• Threat Modeling
• Architecture Risk Analysis
• Vulnerability Handling
• Using Known Vulnerable Components
• Disabled Security Features
• Missing Function Level Access Control
• Improper Authentication
• Insufficient Anti-Automation
• Missing Object Level Access Control
• Using Input from Untrusted Sources
• Plain Text Storage of Passwords
• Plain Text Storage of Sensitive Information
• Unprotected Transport of Credentials
• Unprotected Transport of Sensitive Information
• XML External Entities (XXE)
• SQL Injection
• NoSQL Injection
• OS Command Injection
• Stored Cross Site Scripting
• DOM-Based Cross Site Scripting
• Code Injection
• Failure to Release Resources
• Uncaught Error Handling
• Insufficient Logging and Monitoring

Secure Code Warrior 協助企業針對《網路韌性法案》（CRA）做好準備。SCW 提供開發團隊實務技能，並奠定符合 CRA 安全開發原則的「Secure by Design」基礎。透過接軌 CRA 的學習路徑，使企業能更輕鬆地在多元團隊間建立一致的安全開發能力、降低產品風險，並強化長期的軟體韌性。藉由 SCW，組織能自信地提升安全開發成熟度，全面符合CRA 的安全開發原則。

如果您對 Secure Code Warrior 有興趣，歡迎於官網留下資訊，將會有專人與您聯繫 ➤ https://www.gss.com.tw/mssp/scw