风险评估 (Risk Assessment)
模板：根据 Art. 10(2) CRA 的网络安全风险评估
1. 产品标识
| 字段 | 值 |
|---|---|
| 产品名称 | [名称] |
| 版本 | [版本] |
| CRA 类别 | [标准 / Class I / Class II / 关键] |
| 评估日期 | [YYYY-MM-DD] |
| 评估人 | [姓名, 职务] |
| 下次审查 | [YYYY-MM-DD] |
2. 产品描述
用途： [简要描述]
技术栈： [列举]
数据处理：
- [ ] 个人数据
- [ ] 业务关键数据
- [ ] 认证数据
- [ ] 无敏感数据
网络连接：
- [ ] 面向互联网
- [ ] 内部网络
- [ ] 隔离环境
- [ ] IoT/OT 网络
3. 威胁分析
| 威胁 | 可能性 | 影响 | 风险 |
|---|---|---|---|
| 未授权网络访问 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 注入攻击（SQL, XSS 等） | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 依赖项漏洞 (CVE) | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 供应链攻击 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 拒绝服务攻击 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 数据泄露 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 固件篡改 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 物理访问 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
| 内部威胁 | [高/中/低] | [严重/重大/中等/轻微] | [严重/高/中/低] |
高=High, 中=Medium, 低=Low, 严重=Critical, 重大=Significant, 中等=Moderate, 轻微=Minor
4. 安全措施
| 风险 | 措施 | 实施状态 |
|---|---|---|
| 未授权访问 | [例如 OAuth2, mTLS] | [已实施/进行中/未开始] |
| 注入 | [例如 输入验证, 预处理语句] | [已实施/进行中/未开始] |
| 依赖项中的 CVE | [Trivy 扫描, Dependabot, CVE Monitor] | 已实施 |
| 供应链 | [许可证合规, SBOM, 基础镜像监控] | 已实施 |
| 拒绝服务 | [例如 速率限制, 资源限制] | [已实施/进行中/未开始] |
| 数据泄露 | [例如 加密, 访问控制] | [已实施/进行中/未开始] |
| 固件篡改 | [Cosign, 安全启动, 防回滚] | [已实施/进行中/未开始] |
5. 残余风险
| 残余风险 | 评估 | 接受决定 |
|---|---|---|
| [描述] | [低/中] | [接受 / 计划进一步措施] |
6. Annex I 合规性检查
| 编号 | Annex I 第I部分要求 | 合规 | 证据 |
|---|---|---|---|
| 基于风险的适当网络安全水平 | [是/否] | [参考] | |
| (a) | 交付时无已知可利用漏洞 | [是/否] | [Trivy 报告日期] |
| (b) | 默认安全配置并可重置 | [是/否] | [参考] |
| (c) | 安全更新可自动交付（可选退出） | [是/否] | [参考] |
| (d) | 防止未授权访问（控制机制） | [是/否] | [参考] |
| (e) | 保密性保护（静态/传输加密） | [是/否] | [参考] |
| (f) | 完整性保护，防止未授权篡改 | [是/否] | [参考] |
| (g) | 数据最小化 | [是/否] | [参考] |
| (h) | 可用性保护（韧性, 拒绝服务缓解） | [是/否] | [参考] |
| (i) | 最小化对其他服务/设备可用性的负面影响 | [是/否] | [参考] |
| (j) | 最小攻击面，包括外部接口 | [是/否] | [参考] |
| (k) | 利用缓解（隔离, 最小权限） | [是/否] | [参考] |
| (l) | 相关活动的日志记录和监控（可选退出） | [是/否] | [参考] |
| (m) | 数据和设置的安全永久删除 | [是/否] | [参考] |
7. 结论
总体风险评估： [低 / 中 / 高 / 严重]
建议：
- [ ] 产品可以当前形式发布
- [ ] 在实施已识别的措施后发布
- [ ] 需要进一步分析
8. 签名
| 字段 | 值 |
|---|---|
| 评估人 | [姓名] |
| 日期 | [YYYY-MM-DD] |
| 批准人 | [姓名, 职务] |
| 批准日期 | [YYYY-MM-DD] |