Unijny Cyber Resilience Act (CRA) zwiększa odpowiedzialność producentów produktów z elementami cyfrowymi za ich bezpieczeństwo, w tym za zarządzanie podatnościami i reagowanie na luki. Dla firm korzystających z połączonych urządzeń i systemów oznacza to zmianę podejścia do zakupów. Cena i funkcjonalność produktu będą musiały być oceniane razem z długością wsparcia, szybkością reakcji na podatności i przejrzystością producenta.
Od 11 września br. obowiązują nowe zasady dotyczące zgłaszania podatności wynikające z CRA. Regulacja wprowadza wspólne wymagania cyberbezpieczeństwa dla produktów oferowanych na rynku UE, obejmujące m.in. projektowanie, rozwój, zarządzanie podatnościami oraz bezpieczeństwo produktu przez cały cykl jego życia. Zmiana dotyczy nie tylko producentów. Znaczenie ma również dla firm, instytucji, integratorów i dystrybutorów wykorzystujących urządzenia oraz systemy podłączone do sieci. Przy wyborze technologii coraz większe znaczenie będzie miało to, jak producent radzi sobie z bezpieczeństwem po sprzedaży produktu.
„Unijny akt o cyberodporności wzmacnia wiele zasad dotyczących bezpieczeństwa już na etapie projektowania oraz zarządzania całym cyklem życia produktu. Podnosząc wymagania dotyczące bezpieczeństwa produktów i przejrzystości, przepisy CRA dają nabywcom jasną podstawę do pełnej oceny dostawców technologii oraz długoterminowej odporności cybernetycznej ich produktów” – mówi Mathieu Chevalier, Principal Security Architect w Genetec Inc.
Liczy się reakcja na podatności i długość wsparcia
Jednym z kluczowych elementów CRA są wymagania dotyczące podatności. Producent odpowiada nie tylko za wykrycie problemu, ale również za odpowiednią reakcję, przygotowanie poprawek i komunikację z użytkownikami. W praktyce szybkość analizy zagrożenia, ocena ryzyka, czas przygotowania aktualizacji oraz sposób informowania klientów mogą stać się ważnymi miernikami wiarygodności dostawcy. Organizacje nie powinny więc kończyć oceny produktu na jego funkcjonalności i cenie.
Istotnym kryterium będzie również okres wsparcia bezpieczeństwa. Przed zakupem organizacja powinna wiedzieć, jak długo producent będzie dostarczał aktualizacje, co stanie się po zakończeniu sprzedaży urządzenia oraz jak będą obsługiwane podatności wykryte już po wdrożeniu. Oznacza to, że polityka aktualizacji i zarządzania podatnościami może mieć bezpośredni wpływ na decyzje zakupowe. Produkt, który jest tańszy na początku, ale szybko traci wsparcie, może generować większe koszty i ryzyko w całym okresie użytkowania.
Bezpieczeństwo i transparentność już na etapie projektowania
CRA wzmacnia także podejście security by design. Mechanizmy bezpieczeństwa powinny być uwzględnione już podczas projektowania, rozwoju i testowania produktu, a nie dodawane dopiero po wykryciu problemu. Dla klientów oznacza to konieczność sprawdzania czy bezpieczeństwo jest elementem architektury rozwiązania. Coraz większego znaczenia nabiorą: dokumentacja producenta, procedury testowania, informacje o podatnościach oraz zalecenia dotyczące bezpiecznej konfiguracji.
Unijny akt zwiększa również znaczenie komunikacji dotyczącej bezpieczeństwa. Dostawcy, którzy jasno opisują procedury testowania, informują o podatnościach i dostępnych poprawkach oraz udostępniają zalecenia dotyczące konfiguracji, ułatwiają klientom ocenę ryzyka. W efekcie deklaracja, że produkt jest „bezpieczny”, będzie miała mniejszą wartość niż konkretne informacje o tym, jak producent zarządza bezpieczeństwem i podatnościami.
„Organizacje najlepiej przygotowane do radzenia sobie z przyszłymi zagrożeniami cybernetycznymi traktują cyberbezpieczeństwo jako długoterminowe partnerstwo, a nie jednorazową decyzję zakupową. CRA wzmacnia takie podejście, ustanawiając wspólne oczekiwania dotyczące przejrzystości, uporządkowanego zarządzania podatnościami oraz długoterminowego wsparcia produktów” – podkreśla Mathieu Chevalier.
W praktyce oznacza to zmianę modelu zakupowego. Organizacja kupuje już nie tylko urządzenie czy system, ale również wieloletnią zdolność producenta do utrzymania jego bezpieczeństwa. Dotyczy to szczególnie połączonych systemów bezpieczeństwa fizycznego, które coraz częściej są częścią infrastruktury IT i mogą stać się punktem wejścia do firmowej sieci.
