CRA wymusza nowe podejście do zakupu urządzeń podłączonych do sieci

Cyber Resilience Act (CRA) to unijna regulacja, która nakłada na producentów urządzeń i systemów z komponentami cyfrowymi znacznie większy zakres odpowiedzialności za ich bezpieczeństwo. Chodzi zarówno o samo wykrywanie luk, jak i sposób reagowania na nie. Dla firm kupujących sprzęt sieciowy oraz połączone systemy to sygnał, że proces zakupowy musi się zmienić - obok ceny i funkcji produktu trzeba będzie brać pod uwagę okres wsparcia, tempo reakcji na podatności oraz otwartość producenta w komunikowaniu problemów.

Przepisy dotyczące zgłaszania podatności, wynikające z CRA, są w Polsce i całej Unii Europejskiej stosowane od 11 września tego roku. Regulacja ustanawia jednolite wymogi cyberbezpieczeństwa dla produktów sprzedawanych na unijnym rynku - od etapu projektowania i budowy, przez zarządzanie zgłoszonymi lukami, aż po utrzymanie bezpieczeństwa w całym okresie eksploatacji. Nowe obowiązki nie obciążają wyłącznie wytwórców sprzętu - konsekwencje odczują też firmy, urzędy, integratorzy oraz dystrybutorzy korzystający z urządzeń podłączonych do sieci. Przy wyborze rozwiązań coraz bardziej istotne stanie się to, jak producent podejmuje działania związane z bezpieczeństwem już po sprzedaniu produktu.

Unijny akt o cyberodporności wzmacnia wiele zasad dotyczących bezpieczeństwa już na etapie projektowania oraz zarządzania całym cyklem życia produktu. Podnosząc wymagania dotyczące bezpieczeństwa produktów i przejrzystości, przepisy CRA dają nabywcom jasną podstawę do pełnej oceny dostawców technologii oraz długoterminowej odporności cybernetycznej ich produktów

Mathieu Chevalier, Principal Security Architect w Genetec Inc.

Liczy się reakcja na podatności i długość wsparcia

Jednym z fundamentów CRA są zasady postępowania z wykrytymi lukami bezpieczeństwa. Producent musi nie tylko zidentyfikować problem, lecz także odpowiednio na niego zareagować - przygotować poprawkę i przekazać informację użytkownikom. Tempo analizy zagrożenia, ocena poziomu ryzyka, czas potrzebny na przygotowanie aktualizacji oraz styl komunikacji z klientami mogą stać się realnymi wskaźnikami tego, na ile dostawcy można ufać. Dlatego organizacje nie powinny ograniczać oceny produktu jedynie do jego ceny i funkcjonalności.

Ważnym kryterium zakupowym staje się także to, jak długo producent zobowiązuje się wspierać bezpieczeństwo swojego produktu. Zanim dojdzie do transakcji, warto wiedzieć, przez jaki czas będą dostarczane aktualizacje, co się stanie po wycofaniu urządzenia ze sprzedaży oraz w jaki sposób będą obsługiwane podatności odkryte już po wdrożeniu. W praktyce polityka aktualizacji i sposób zarządzania lukami mogą realnie wpływać na wybór dostawcy. Produkt o niższej cenie zakupu, który jednak szybko przestaje być wspierany, może w dłuższej perspektywie generować wyższe koszty i większe ryzyko.

Bezpieczeństwo i transparentność już na etapie projektowania

CRA rozwija też koncepcję security by design. Zabezpieczenia powinny być wbudowane w produkt już na etapie projektowania, tworzenia i testowania, a nie dołączane dopiero po ujawnieniu problemu. Dla kupujących oznacza to potrzebę weryfikacji, czy bezpieczeństwo faktycznie jest częścią architektury danego rozwiązania. Rosnące znaczenie zyskują takie elementy jak dokumentacja techniczna producenta, opisane procedury testów, informacje o wykrytych podatnościach oraz wskazówki dotyczące bezpiecznej konfiguracji.

Regulacja podnosi też wagę komunikacji na temat bezpieczeństwa. Producenci, którzy przejrzyście opisują metody testowania, informują o zidentyfikowanych podatnościach i wydanych poprawkach, a także udostępniają wytyczne konfiguracyjne, ułatwiają klientom rzetelną ocenę ryzyka. W efekcie samo zapewnienie, że produkt jest „bezpieczny”, będzie znaczyło mniej niż konkretne dane o tym, jak producent faktycznie zarządza bezpieczeństwem i lukami w swoich produktach.

Organizacje najlepiej przygotowane do radzenia sobie z przyszłymi zagrożeniami cybernetycznymi traktują cyberbezpieczeństwo jako długoterminowe partnerstwo, a nie jednorazową decyzję zakupową. CRA wzmacnia takie podejście, ustanawiając wspólne oczekiwania dotyczące przejrzystości, uporządkowanego zarządzania podatnościami oraz długoterminowego wsparcia produktów

Mathieu Chevalier

W efekcie zmienia się sam model zakupu technologii. Firma nabywa nie tylko konkretne urządzenie lub system, ale również długofalową gotowość producenta do utrzymania jego bezpieczeństwa przez lata. Ma to szczególne znaczenie w przypadku połączonych systemów bezpieczeństwa fizycznego, które w coraz większym stopniu stają się elementem infrastruktury IT i mogą stanowić potencjalną drogę wejścia do sieci firmowej.