referencial
NIST SSDF e OWASP SAMM
Os seus clientes perguntam com que segurança desenvolve software, e o Cyber Resilience Act vai exigi-lo em breve para todos os produtos com elementos digitais? O Complass guia-o pelas 42 tarefas do NIST SSDF, mostra o seu nível de maturidade segundo o OWASP SAMM e liga ambos ao CRA e à IEC 62443-4-1.
O que é NIST SSDF?
O Secure Software Development Framework (SSDF) é um quadro de referência voluntário do National Institute of Standards and Technology dos EUA (NIST SP 800-218). Descreve, em quatro grupos e 42 tarefas, como os fabricantes desenvolvem software de forma segura e reagem a vulnerabilidades. O OWASP SAMM é um modelo aberto de maturidade para a segurança de software, com 15 práticas e níveis de 0 a 3. Não existem certificados para nenhum dos dois.
O Complass não tem qualquer ligação ao NIST nem à OWASP Foundation. Os textos ingleses das tarefas provêm da NIST SP 800-218, uma obra do Governo federal dos EUA de utilização livre. O OWASP SAMM (owaspsamm.org) está licenciado sob a CC BY-SA 4.0; o Complass limita-se a indicar os nomes das práticas e descreve os níveis em palavras próprias.
Atualidade dos conteúdos:
Aplica-se ao meu caso?
O SSDF aplica-se a fabricantes e programadores de software, incluindo firmware e software em máquinas e dispositivos: empresas cujos clientes querem ver demonstrado um desenvolvimento seguro, fornecedores de entidades públicas dos EUA e todos os que pretendem aplicar na prática os requisitos de desenvolvimento do Cyber Resilience Act.
O SSDF não é obrigatório e não substitui nem o CRA nem a IEC 62443-4-1. Complementa-os como lista de tarefas orientada para a prática; já implementou muitas tarefas se desenvolver segundo a IEC 62443-4-1.
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Fundamentos
- NIST SP 800-218Secure Software Development Framework (SSDF) versão 1.1, fevereiro de 2022; versão 1.2 em projeto desde dezembro de 2025
- OWASP SAMM v2Software Assurance Maturity Model, licença CC BY-SA 4.0
Datas-chave
Não existem prazos legais para o SSDF. Quem oferece produtos com elementos digitais na UE deve ter presentes os prazos do Cyber Resilience Act; o SSDF ajuda a implementar a tempo os requisitos de desenvolvimento e de tratamento de vulnerabilidades. Recomendamos repetir a avaliação SAMM todos os anos.
Como o Complass ajuda
- 5fases
- 10passos guiados
- 3modelos de documento
- 42requisitos no catálogo
Orientado em cinco fases
Âmbito, preparar a organização, proteger o software e produzi-lo de forma segura, reagir a vulnerabilidades, avaliar o nível de maturidade.
42 tarefas com guia de implementação
Cada tarefa com identificador oficial, formulação original do NIST, passos, âmbito mínimo, evidências típicas e níveis segundo o OWASP SAMM.
Modelos
Política de desenvolvimento seguro de software, avaliação do nível de maturidade SAMM e plano de melhoria.
Implementar uma vez, comprovar muitas vezes
O Complass propõe-lhe aproveitar para o SSDF avaliações e evidências do CRA, da IEC 62443-4-1 e da ISO 27001.
As fases no módulo
- Ponto de partida e âmbito
- Preparar a organização (PO)
- Proteger o software e produzi-lo de forma segura (PS, PW)
- Responder a vulnerabilidades (RV)
- Avaliar a maturidade com a OWASP SAMM
Catálogo: NIST SSDF 1.1 – 42 tarefas
Módulos adequados
Gestão da conformidade
Aplicar referenciais de forma guiada: fases, modelos, pirâmide documental, catálogos, análise de lacunas, objetivos e plano de ação até à auditoria no portal do auditor.
Saber maisGestão de riscos
Registo de riscos com avaliação qualitativa ou quantitativa, apetite pelo risco e plano de tratamento, ligado a ativos, vulnerabilidades e incidentes.
Saber maisGestão de ativos
Ativos de TI e de OT num só lugar, recolhidos sem agente, com SBOM, avisos dos fabricantes, fim de suporte, reconciliação de licenças, identidades, relações e zonas segundo a IEC 62443-3-2.
Saber maisPerguntas frequentes
Existe um certificado SSDF?
Não. Nem o SSDF nem o OWASP SAMM são certificáveis. O Complass ajuda-o a descrever e a documentar o seu estado de implementação e o seu nível de maturidade.
Cumprimos o Cyber Resilience Act com o SSDF?
Não automaticamente. O SSDF abrange muitos requisitos de desenvolvimento e de tratamento de vulnerabilidades, e o Complass mostra a correspondência com o anexo I. A avaliação da conformidade nos termos do CRA continua a ser uma tarefa autónoma.
Para que serve o SAMM, se já temos o SSDF?
O SSDF diz o que fazer; o SAMM mostra o grau de consolidação. Com os níveis de 0 a 3 pode medir o progresso e definir objetivos.
Já desenvolvemos segundo a IEC 62443-4-1. Temos de registar tudo de novo?
Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica cada proposta antes de a confirmar.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.