El CRA permite una evaluación común para una familia de productos que comparta arquitectura, seguridad y perfil de riesgos

El CRA nos permite agrupar familias de productos, pero hay que tener siempre en cuenta que las consideraciones de diseño y seguridad deben mantenerse. 

Esta infografía explica cómo aplicar el CRA cuando un fabricante comercializa sistemas industriales complejos con distintas configuraciones de hardware, firmware, software o conectividad. Una evaluación y documentación comunes pueden cubrir varias variantes si comparten arquitectura, diseño de seguridad, finalidad prevista y perfil de riesgos. Sin embargo, cada configuración debe identificarse y trazarse: cuando una diferencia modifica el perfil de riesgos, los flujos de datos, los privilegios o las medidas de seguridad, será necesario ampliar la evaluación, el expediente técnico y las pruebas aplicables. 

Otra forma de verlo sería que, si tienes varios productos y se realizan el análisis de riesgos y la documentación sobre el producto más complejo y con mayor superficie de ataque, será más sencillo reutilizar ese trabajo para productos más sencillos de la misma familia que compartan componentes. Por ejemplo, si comercializas varias impresoras 3D y una dispone de conectividad Wi-Fi, Ethernet y USB, mientras que otras versiones solo disponen de conectividad USB, las versiones con menos opciones de conectividad pueden utilizar la documentación de la máquina más compleja. En la documentación técnica bastaría con indicar que esas funciones no están disponibles en las versiones más sencillas. 

De cara a preparar el CRA, partir del producto con mayor superficie de ataque permite reutilizar gran parte de la evidencia, siempre que se demuestre que esta cubre íntegramente los riesgos y requisitos de cada variante de la familia.