حدد نطاق الانطباق أولاً
احصر المنتجات البرمجية والمادية ودور الشركة والأسواق التي تطرح فيها. فقد تكون المؤسسة مصنّعاً أو مستورداً أو موزعاً أو مورّد مكوّن، وتختلف الواجبات. سجل لكل منتج نتيجة راجعها مختص قانوني بدلاً من افتراض عام بعدم الانطباق.
اربط المنتج بمالكه ومستودعاته وقائمة مكوناته وقناة تحديثه واتصالات الدعم حتى يمكن تحديد الإصدارات والعملاء المتأثرين بسرعة.
افصل الاكتشاف عن التصنيف
قد تصل الإشارة من باحث أو عميل أو CERT أو فاحص تبعيات أو فريق تشغيل. تسجل نقطة استقبال واحدة الوقت والمنتج والإصدار والأدلة، ثم تقرر مجموعة محددة ما إذا كانت ثغرة مستغلة فعلياً أو حادثاً شديداً وفق المعايير.
لا توقف الشكوك التقنية الساعة. وثّق القرار وأسبابه والحقائق المتاحة منذ البداية، وحدّثها أثناء التحقيق.
جهز حزمتَي 24 و72 ساعة
اعتباراً من 11 سبتمبر 2026، يلزم تحذير مبكر عن الأحداث المشمولة خلال 24 ساعة وإشعار أشمل خلال 72 ساعة. حدد القوالب واسم مقدم البلاغ والبديل والحقائق المطلوبة ومسار المراجعة القانونية والعمل على منصة الإبلاغ الموحدة.
لا يحل الإبلاغ محل الإصلاح؛ احتو الأثر وابن تحديثاً واختبره وأبلغ العملاء المتأثرين بالتوازي.
تدرب على المسار كاملاً
ابدأ التمرين برسالة دعم غامضة لا برقم CVE جاهز. اختبر قدرة الخط الأول على التعرف إلى الإشارة، والعثور على SBOM، وتحديد الإصدارات، واتخاذ القرار خارج ساعات العمل.
قد ينطبق CRA على شركات خارج الاتحاد عند طرح منتجات ذات صلة في السوق الأوروبية. يجب تأكيد الانطباق القانوني وصياغة البلاغ مع مختصين، مع إعداد العملية التقنية مسبقاً.