Key takeaway: Secure by Design is the core concept of QNAP's product development process
In September 2026, QNAP passed the process verification conducted by the global certification body DEKRA in accordance with the IEC 62443-4-1 standard. The core of the IEC 62443-4-1 assessment is to evaluate whether QNAP, as a supplier, can systematize and implement security requirements throughout the entire product lifecycle: from planning, design, testing, release, to ongoing maintenance. Security considerations must be built in from the very beginning (Secure by Design) of the development process.
This process validation is not limited to a single product: QNAP will continue to apply the same set of validated security development practices to every product released now and in the future, implementing secure software development (Secure SDLC).
Four verified coverage cycles: from planning to maintenance
The audit rigor of IEC 62443-4-1 is far beyond that of a one-time questionnaire review. The standard formally defines eight major secure development practices, covering Security Management, Specification of Security Requirements, Secure by Design, Secure Implementation, Security Verification and Validation Testing, Management of Security-Related Issues, Security Update Management, and Security Guidelines. It also evaluates the organization's implementation maturity according to the four-level CMMI (Capability Maturity Model Integration) model: Initial, Managed, Defined, and Improving. To pass the certification, enterprises must achieve a level of documentation, institutionalization, and cross-departmental execution that allows independent auditors to inspect each requirement in detail.
Learn about the 8 key secure development practices of the IEC 62443-4-1 standard >>
DEKRA's verification this time covers QNAP's organizational capabilities in four aspects, each of which has corresponding existing mechanisms within QNAP's current information security governance framework:
-
Secure Development Process: QNAP follows the public Secure Software Development Lifecycle (SSDLC) policy, incorporating risk assessment and threat modeling from the requirements gathering stage, and integrating them throughout architecture design and coding; the design phase must undergo security reviews covering data protection, identity authentication, access control, and encryption implementation requirements, and provides concrete secure coding standards for different programming languages; the development process introduces automated SAST (Static Application Security Testing) and DAST (Dynamic Application Security Testing) scans, complemented by penetration testing and threat model validation.
-
Information Security Risk Management: Coordinated by QNAP PSIRT (Product Security Incident Response Team), operated under a committee system, and governed by joint participation from R&D, information security, legal, customer service, and sales departments. This ensures systematic identification and assessment of information security risks throughout the product development process.
-
Security Vulnerability Management: Through a public Security Advisories notification mechanism and a Security Bounty Program, we continuously track and respond to newly discovered security vulnerabilities. For vulnerabilities reported by external researchers, QNAP PSIRT commits to completing verification and issuing a CVE number within one week.
-
Software Supply Chain Risk Management: Through the Software Supply Chain Risk Management (SSCRM) dedicated page, we publicly disclose specific practices, including maintaining SBOM (Software Bill of Materials) for QNAP NAS software and applications, using industry-standard formats such as CycloneDX and SPDX to track component composition; introducing Software Composition Analysis (SCA) and SAST automated vulnerability scanning tools into the development process, and integrating CVE data databases and CISA KEV (Known Exploited Vulnerabilities) catalog for comparison, so that third-party components and dependencies are also included in the risk management scope.
This demonstrates QNAP's organizational capability to systematize and implement security requirements throughout the entire product lifecycle, from planning to maintenance, with security governance being an established norm throughout the development process.
The supplier's own secure development capability is already within the scope of the audit.
Many compliance standards point out that when enterprises assess their own cybersecurity compliance, the security capabilities of suppliers are already part of the audit scope. For example, Article 21(2)(d) of NIS2 explicitly requires enterprises to assess the “security risks related to direct suppliers and service providers,” while Article 21(2)(e) further requires enterprises to pay attention to the secure acquisition, development, and maintenance of systems, including vulnerability management and disclosure. Possessing IEC 62443-4-1 certification is precisely the most direct third-party evidence for meeting these two requirements.
For customers who are advancing IT/OT integration and deploying in key infrastructure sectors such as smart manufacturing, energy, and transportation, this certification carries even greater significance. As NAS, edge computing unit, and IoT storage systems play an increasingly important role in these sectors, whether a supplier’s product security development process has undergone review is directly related to the overall risk exposure of the OT environment.
IEC 62443-4-1 can align with the EU Cyber Resilience Act (CRA)
The EU Cyber Resilience Act (CRA) requires that connected products ensure cybersecurity throughout their entire lifecycle. The core principles of IEC 62443-4-1 are highly consistent with those of the CRA. QNAP has obtained this certification, demonstrating that its product line is capable of meeting CRA requirements and can significantly reduce compliance risks for multinational enterprises.
Learn more: What is the EU Cyber Resilience Act (CRA)? Requirements and deadlines for NAS and Networking devices, and QNAP's approach
Comprehensive international compliance from product to operation: QNAP builds a holistic information security trust ecosystem
QNAP has obtained IEC 62443-4-1 certification, which is one of the third-party certifications accumulated in recent years. QNAP already holds multiple certifications, including ISO/IEC 27001 (Information Security Management System), ISO/IEC 27017 (Cloud Service Security Controls), ISO/IEC 27018 (Cloud Privacy Protection), and Japan's JC-STAR Level 1 (IoT Product Security Label). Now, with the addition of the IEC 62443-4-1 certification, which focuses on the "secure development process" itself, QNAP's expanding list of certifications demonstrates that its investment in information security is not just a temporary patch to meet a single regulation or customer requirement, but a long-term, systematic organizational capability building.
Visit QNAP Trust Center to view more authentication and compliance information >>
Punto chiave: Secure by Design è il concetto centrale del processo di sviluppo prodotto di QNAP
A settembre 2026, QNAP ha superato la verifica di processo condotta dall'organismo di certificazione globale DEKRA secondo lo standard IEC 62443-4-1. Il fulcro della valutazione IEC 62443-4-1 è verificare se QNAP, come fornitore, sia in grado di sistematizzare e implementare i requisiti di sicurezza durante l'intero ciclo di vita del prodotto: dalla pianificazione, progettazione, test, rilascio, fino alla manutenzione continua. Le considerazioni di sicurezza devono essere integrate fin dall'inizio (Secure by Design) del processo di sviluppo.
Questa validazione di processo non è limitata a un singolo prodotto: QNAP continuerà ad applicare lo stesso insieme di pratiche di sviluppo sicuro validate a ogni prodotto rilasciato ora e in futuro, implementando lo sviluppo software sicuro (Secure SDLC).
Quattro cicli di copertura verificati: dalla pianificazione alla manutenzione
Il rigore dell'audit IEC 62443-4-1 va ben oltre una semplice revisione tramite questionario. Lo standard definisce formalmente otto principali pratiche di sviluppo sicuro, che coprono Gestione della Sicurezza, Specifica dei Requisiti di Sicurezza, Secure by Design, Implementazione Sicura, Verifica e Validazione della Sicurezza, Gestione delle Questioni Relative alla Sicurezza, Gestione degli Aggiornamenti di Sicurezza e Linee Guida di Sicurezza. Valuta inoltre la maturità di implementazione dell'organizzazione secondo il modello CMMI (Capability Maturity Model Integration) a quattro livelli: Iniziale, Gestito, Definito e Miglioramento. Per ottenere la certificazione, le aziende devono raggiungere un livello di documentazione, istituzionalizzazione ed esecuzione interdipartimentale che consenta agli auditor indipendenti di ispezionare ogni requisito in dettaglio.
Scopri le 8 principali pratiche di sviluppo sicuro dello standard IEC 62443-4-1 >>
La verifica di DEKRA questa volta copre le capacità organizzative di QNAP in quattro aspetti, ciascuno dei quali ha meccanismi corrispondenti già esistenti all'interno del framework di governance della sicurezza informatica di QNAP:
-
Processo di Sviluppo Sicuro: QNAP segue la politica pubblica Secure Software Development Lifecycle (SSDLC), incorporando la valutazione dei rischi e il threat modeling già dalla fase di raccolta dei requisiti, integrandoli durante la progettazione dell'architettura e la codifica; la fase di progettazione deve essere sottoposta a revisioni di sicurezza che coprono protezione dei dati, autenticazione dell'identità, controllo degli accessi e requisiti di implementazione della crittografia, e fornisce standard concreti di codifica sicura per diversi linguaggi di programmazione; il processo di sviluppo introduce scansioni automatizzate SAST (Static Application Security Testing) e DAST (Dynamic Application Security Testing), integrate da penetration test e validazione del threat model.
-
Gestione dei Rischi di Sicurezza Informatica: Coordinata dal QNAP PSIRT (Product Security Incident Response Team), operante sotto un sistema di comitato e governata dalla partecipazione congiunta di R&D, sicurezza informatica, legale, servizio clienti e vendite. Questo garantisce l'identificazione e la valutazione sistematica dei rischi di sicurezza informatica durante tutto il processo di sviluppo prodotto.
-
Gestione delle Vulnerabilità di Sicurezza: Attraverso un meccanismo pubblico di notifica Security Advisories e un Security Bounty Program, monitoriamo e rispondiamo continuamente alle nuove vulnerabilità di sicurezza scoperte. Per le vulnerabilità segnalate da ricercatori esterni, QNAP PSIRT si impegna a completare la verifica e assegnare un numero CVE entro una settimana.
-
Gestione dei Rischi della Supply Chain Software: Tramite la pagina dedicata Software Supply Chain Risk Management (SSCRM), divulghiamo pubblicamente pratiche specifiche, tra cui la manutenzione di SBOM (Software Bill of Materials) per software e applicazioni QNAP NAS, utilizzando formati standard di settore come CycloneDX e SPDX per tracciare la composizione dei componenti; introduciamo strumenti automatizzati di Software Composition Analysis (SCA) e scansione delle vulnerabilità SAST nel processo di sviluppo, integrando database CVE e il catalogo CISA KEV (Known Exploited Vulnerabilities) per il confronto, così che componenti e dipendenze di terze parti siano inclusi nell'ambito della gestione dei rischi.
Questo dimostra la capacità organizzativa di QNAP di sistematizzare e implementare i requisiti di sicurezza durante l'intero ciclo di vita del prodotto, dalla pianificazione alla manutenzione, con la governance della sicurezza come norma consolidata in tutto il processo di sviluppo.
La capacità di sviluppo sicuro del fornitore è già inclusa nell'ambito dell'audit.
Molti standard di conformità sottolineano che, quando le aziende valutano la propria conformità alla sicurezza informatica, le capacità di sicurezza dei fornitori sono già parte dell'ambito di audit. Ad esempio, l'Articolo 21(2)(d) di NIS2 richiede esplicitamente alle aziende di valutare i "rischi di sicurezza relativi ai fornitori diretti e ai fornitori di servizi", mentre l'Articolo 21(2)(e) richiede inoltre di prestare attenzione all'acquisizione, sviluppo e manutenzione sicura dei sistemi, inclusa la gestione e divulgazione delle vulnerabilità. Possedere la certificazione IEC 62443-4-1 è proprio la prova di terza parte più diretta per soddisfare questi due requisiti.
Per i clienti che stanno avanzando nell'integrazione IT/OT e implementando nei settori infrastrutturali chiave come smart manufacturing, energia e trasporti, questa certificazione assume un significato ancora maggiore. Poiché NAS, unità edge computing e sistemi di storage IoT svolgono un ruolo sempre più importante in questi settori, se il processo di sviluppo sicuro del prodotto di un fornitore è stato sottoposto a revisione è direttamente correlato all'esposizione complessiva al rischio dell'ambiente OT.
IEC 62443-4-1 può essere allineato con l'EU Cyber Resilience Act (CRA)
L'EU Cyber Resilience Act (CRA) richiede che i prodotti connessi garantiscano la cybersecurity durante l'intero ciclo di vita. I principi fondamentali di IEC 62443-4-1 sono altamente coerenti con quelli del CRA. QNAP ha ottenuto questa certificazione, dimostrando che la sua linea di prodotti è in grado di soddisfare i requisiti CRA e può ridurre significativamente i rischi di conformità per le aziende multinazionali.
Scopri di più: Cos'è l'EU Cyber Resilience Act (CRA)? Requisiti e scadenze per dispositivi NAS e Networking, e l'approccio di QNAP
Conformità internazionale completa dal prodotto all'operazione: QNAP costruisce un ecosistema di fiducia per la sicurezza informatica
QNAP ha ottenuto la certificazione IEC 62443-4-1, una delle certificazioni di terza parte accumulate negli ultimi anni. QNAP possiede già molteplici certificazioni, tra cui ISO/IEC 27001 (Sistema di Gestione della Sicurezza Informatica), ISO/IEC 27017 (Controlli di Sicurezza per Servizi Cloud), ISO/IEC 27018 (Protezione della Privacy Cloud) e JC-STAR Livello 1 del Giappone (Etichetta di Sicurezza per Prodotti IoT). Ora, con l'aggiunta della certificazione IEC 62443-4-1, che si concentra sul "processo di sviluppo sicuro" stesso, la crescente lista di certificazioni di QNAP dimostra che il suo investimento nella sicurezza informatica non è solo una soluzione temporanea per soddisfare una singola normativa o esigenza del cliente, ma una costruzione di capacità organizzativa sistematica e a lungo termine.
Visita il QNAP Trust Center per visualizzare altre informazioni su autenticazione e conformità >>
5 min di lettura
