Key takeaway: Secure by Design is the core concept of QNAP's product development process
In September 2026, QNAP passed the process verification conducted by the global certification body DEKRA in accordance with the IEC 62443-4-1 standard. The core of the IEC 62443-4-1 assessment is to evaluate whether QNAP, as a supplier, can systematize and implement security requirements throughout the entire product lifecycle: from planning, design, testing, release, to ongoing maintenance. Security considerations must be built in from the very beginning (Secure by Design) of the development process.
This process validation is not limited to a single product: QNAP will continue to apply the same set of validated security development practices to every product released now and in the future, implementing secure software development (Secure SDLC).
Four verified coverage cycles: from planning to maintenance
The audit rigor of IEC 62443-4-1 is far beyond that of a one-time questionnaire review. The standard formally defines eight major secure development practices, covering Security Management, Specification of Security Requirements, Secure by Design, Secure Implementation, Security Verification and Validation Testing, Management of Security-Related Issues, Security Update Management, and Security Guidelines. It also evaluates the organization's implementation maturity according to the four-level CMMI (Capability Maturity Model Integration) model: Initial, Managed, Defined, and Improving. To pass the certification, enterprises must achieve a level of documentation, institutionalization, and cross-departmental execution that allows independent auditors to inspect each requirement in detail.
Learn about the 8 key secure development practices of the IEC 62443-4-1 standard >>
DEKRA's verification this time covers QNAP's organizational capabilities in four aspects, each of which has corresponding existing mechanisms within QNAP's current information security governance framework:
-
Secure Development Process: QNAP follows the public Secure Software Development Lifecycle (SSDLC) policy, incorporating risk assessment and threat modeling from the requirements gathering stage, and integrating them throughout architecture design and coding; the design phase must undergo security reviews covering data protection, identity authentication, access control, and encryption implementation requirements, and provides concrete secure coding standards for different programming languages; the development process introduces automated SAST (Static Application Security Testing) and DAST (Dynamic Application Security Testing) scans, complemented by penetration testing and threat model validation.
-
Information Security Risk Management: Coordinated by QNAP PSIRT (Product Security Incident Response Team), operated under a committee system, and governed by joint participation from R&D, information security, legal, customer service, and sales departments. This ensures systematic identification and assessment of information security risks throughout the product development process.
-
Security Vulnerability Management: Through a public Security Advisories notification mechanism and a Security Bounty Program, we continuously track and respond to newly discovered security vulnerabilities. For vulnerabilities reported by external researchers, QNAP PSIRT commits to completing verification and issuing a CVE number within one week.
-
Software Supply Chain Risk Management: Through the Software Supply Chain Risk Management (SSCRM) dedicated page, we publicly disclose specific practices, including maintaining SBOM (Software Bill of Materials) for QNAP NAS software and applications, using industry-standard formats such as CycloneDX and SPDX to track component composition; introducing Software Composition Analysis (SCA) and SAST automated vulnerability scanning tools into the development process, and integrating CVE data databases and CISA KEV (Known Exploited Vulnerabilities) catalog for comparison, so that third-party components and dependencies are also included in the risk management scope.
This demonstrates QNAP's organizational capability to systematize and implement security requirements throughout the entire product lifecycle, from planning to maintenance, with security governance being an established norm throughout the development process.
The supplier's own secure development capability is already within the scope of the audit.
Many compliance standards point out that when enterprises assess their own cybersecurity compliance, the security capabilities of suppliers are already part of the audit scope. For example, Article 21(2)(d) of NIS2 explicitly requires enterprises to assess the “security risks related to direct suppliers and service providers,” while Article 21(2)(e) further requires enterprises to pay attention to the secure acquisition, development, and maintenance of systems, including vulnerability management and disclosure. Possessing IEC 62443-4-1 certification is precisely the most direct third-party evidence for meeting these two requirements.
For customers who are advancing IT/OT integration and deploying in key infrastructure sectors such as smart manufacturing, energy, and transportation, this certification carries even greater significance. As NAS, edge computing unit, and IoT storage systems play an increasingly important role in these sectors, whether a supplier’s product security development process has undergone review is directly related to the overall risk exposure of the OT environment.
IEC 62443-4-1 can align with the EU Cyber Resilience Act (CRA)
The EU Cyber Resilience Act (CRA) requires that connected products ensure cybersecurity throughout their entire lifecycle. The core principles of IEC 62443-4-1 are highly consistent with those of the CRA. QNAP has obtained this certification, demonstrating that its product line is capable of meeting CRA requirements and can significantly reduce compliance risks for multinational enterprises.
Learn more: What is the EU Cyber Resilience Act (CRA)? Requirements and deadlines for NAS and Networking devices, and QNAP's approach
Comprehensive international compliance from product to operation: QNAP builds a holistic information security trust ecosystem
QNAP has obtained IEC 62443-4-1 certification, which is one of the third-party certifications accumulated in recent years. QNAP already holds multiple certifications, including ISO/IEC 27001 (Information Security Management System), ISO/IEC 27017 (Cloud Service Security Controls), ISO/IEC 27018 (Cloud Privacy Protection), and Japan's JC-STAR Level 1 (IoT Product Security Label). Now, with the addition of the IEC 62443-4-1 certification, which focuses on the "secure development process" itself, QNAP's expanding list of certifications demonstrates that its investment in information security is not just a temporary patch to meet a single regulation or customer requirement, but a long-term, systematic organizational capability building.
Visit QNAP Trust Center to view more authentication and compliance information >>
Principais pontos: Secure by Design é o conceito central do processo de desenvolvimento de produtos da QNAP
Em setembro de 2026, a QNAP passou pela verificação de processo conduzida pelo órgão de certificação global DEKRA, de acordo com o padrão IEC 62443-4-1. O foco da avaliação IEC 62443-4-1 é verificar se a QNAP, como fornecedora, consegue sistematizar e implementar requisitos de segurança durante todo o ciclo de vida do produto: desde o planejamento, design, testes, lançamento até a manutenção contínua. As considerações de segurança devem ser incorporadas desde o início (Secure by Design) do processo de desenvolvimento.
Essa validação de processo não se limita a um único produto: a QNAP continuará aplicando o mesmo conjunto de práticas de desenvolvimento de segurança validadas a todos os produtos lançados agora e no futuro, implementando o desenvolvimento seguro de software (Secure SDLC).
Quatro ciclos de cobertura verificados: do planejamento à manutenção
A rigorosidade da auditoria IEC 62443-4-1 vai muito além de uma revisão pontual por questionário. O padrão define formalmente oito principais práticas de desenvolvimento seguro, abrangendo Gestão de Segurança, Especificação de Requisitos de Segurança, Secure by Design, Implementação Segura, Testes de Verificação e Validação de Segurança, Gestão de Incidentes Relacionados à Segurança, Gestão de Atualizações de Segurança e Diretrizes de Segurança. Também avalia a maturidade de implementação da organização segundo o modelo CMMI (Capability Maturity Model Integration) de quatro níveis: Inicial, Gerenciado, Definido e Melhorando. Para obter a certificação, as empresas devem alcançar um nível de documentação, institucionalização e execução interdepartamental que permita aos auditores independentes inspecionar cada requisito em detalhes.
Conheça as 8 principais práticas de desenvolvimento seguro do padrão IEC 62443-4-1 >>
A verificação da DEKRA desta vez abrange as capacidades organizacionais da QNAP em quatro aspectos, cada um com mecanismos correspondentes já existentes no atual framework de governança de segurança da informação da QNAP:
-
Processo de Desenvolvimento Seguro: A QNAP segue a política pública Secure Software Development Lifecycle (SSDLC), incorporando avaliação de riscos e modelagem de ameaças desde a fase de levantamento de requisitos, integrando-os ao longo do design de arquitetura e codificação; a fase de design deve passar por revisões de segurança abrangendo proteção de dados, autenticação de identidade, controle de acesso e requisitos de implementação de criptografia, além de fornecer padrões concretos de codificação segura para diferentes linguagens de programação; o processo de desenvolvimento introduz varreduras automatizadas SAST (Static Application Security Testing) e DAST (Dynamic Application Security Testing), complementadas por testes de penetração e validação de modelos de ameaça.
-
Gestão de Riscos de Segurança da Informação: Coordenada pelo QNAP PSIRT (Product Security Incident Response Team), operando sob um sistema de comitê e governada pela participação conjunta dos departamentos de P&D, segurança da informação, jurídico, atendimento ao cliente e vendas. Isso garante a identificação e avaliação sistemática dos riscos de segurança da informação durante todo o processo de desenvolvimento de produtos.
-
Gestão de Vulnerabilidades de Segurança: Por meio de um mecanismo público de notificações de Security Advisories e de um Programa de Recompensa de Segurança, acompanhamos e respondemos continuamente às novas vulnerabilidades de segurança descobertas. Para vulnerabilidades reportadas por pesquisadores externos, o QNAP PSIRT se compromete a concluir a verificação e emitir um número CVE em até uma semana.
-
Gestão de Riscos da Cadeia de Suprimentos de Software: Por meio da página dedicada de Software Supply Chain Risk Management (SSCRM), divulgamos publicamente práticas específicas, incluindo a manutenção de SBOM (Software Bill of Materials) para softwares e aplicativos NAS da QNAP, utilizando formatos padrão do setor como CycloneDX e SPDX para rastrear a composição dos componentes; introduzindo ferramentas automatizadas de análise de composição de software (SCA) e varredura de vulnerabilidades SAST no processo de desenvolvimento, e integrando bancos de dados de CVE e o catálogo CISA KEV (Known Exploited Vulnerabilities) para comparação, de modo que componentes e dependências de terceiros também estejam incluídos no escopo de gestão de riscos.
Isso demonstra a capacidade organizacional da QNAP de sistematizar e implementar requisitos de segurança durante todo o ciclo de vida do produto, do planejamento à manutenção, com a governança de segurança sendo uma norma estabelecida em todo o processo de desenvolvimento.
A própria capacidade de desenvolvimento seguro do fornecedor já está dentro do escopo da auditoria.
Muitos padrões de conformidade apontam que, ao avaliar a conformidade de cibersegurança, as capacidades de segurança dos fornecedores já fazem parte do escopo da auditoria. Por exemplo, o Artigo 21(2)(d) do NIS2 exige explicitamente que as empresas avaliem os "riscos de segurança relacionados a fornecedores diretos e prestadores de serviços", enquanto o Artigo 21(2)(e) exige ainda que as empresas prestem atenção à aquisição, desenvolvimento e manutenção segura de sistemas, incluindo gestão e divulgação de vulnerabilidades. Possuir a certificação IEC 62443-4-1 é justamente a evidência de terceiros mais direta para atender a esses dois requisitos.
Para clientes que estão avançando na integração IT/OT e implantando em setores de infraestrutura crítica como manufatura inteligente, energia e transporte, essa certificação tem ainda mais significado. À medida que NAS, unidades de computação de borda e sistemas de armazenamento IoT desempenham um papel cada vez mais importante nesses setores, o fato de o processo de desenvolvimento de segurança do fornecedor ter passado por revisão está diretamente relacionado à exposição de risco do ambiente OT.
IEC 62443-4-1 pode se alinhar com o EU Cyber Resilience Act (CRA)
O EU Cyber Resilience Act (CRA) exige que produtos conectados garantam cibersegurança durante todo o seu ciclo de vida. Os princípios centrais do IEC 62443-4-1 são altamente consistentes com os do CRA. A QNAP obteve essa certificação, demonstrando que sua linha de produtos é capaz de atender aos requisitos do CRA e pode reduzir significativamente os riscos de conformidade para empresas multinacionais.
Saiba mais: O que é o EU Cyber Resilience Act (CRA)? Requisitos e prazos para dispositivos NAS e de rede, e a abordagem da QNAP
Conformidade internacional abrangente do produto à operação: QNAP constrói um ecossistema holístico de confiança em segurança da informação
A QNAP obteve a certificação IEC 62443-4-1, uma das certificações de terceiros acumuladas nos últimos anos. A QNAP já possui múltiplas certificações, incluindo ISO/IEC 27001 (Sistema de Gestão de Segurança da Informação), ISO/IEC 27017 (Controles de Segurança para Serviços em Nuvem), ISO/IEC 27018 (Proteção de Privacidade em Nuvem) e o JC-STAR Level 1 do Japão (Rótulo de Segurança para Produtos IoT). Agora, com a adição da certificação IEC 62443-4-1, que foca no próprio "processo de desenvolvimento seguro", a lista crescente de certificações da QNAP demonstra que seu investimento em segurança da informação não é apenas um remendo temporário para atender a uma única regulamentação ou exigência de cliente, mas sim uma construção de capacidade organizacional sistemática e de longo prazo.
Visite o QNAP Trust Center para ver mais informações de autenticação e conformidade >>
5 min de leitura
