Od 11 września zaczęły obowiązywać nowe zasady zgłaszania podatności wynikające z unijnego aktu o cyberodporności (Cyber Resilience Act, CRA). Regulacja zwiększa odpowiedzialność producentów produktów z elementami cyfrowymi i podnosi wymagania dotyczące ich bezpieczeństwa przez cały cykl życia. Zmiany będą miały znaczenie również dla firm, instytucji, integratorów i dystrybutorów korzystających z urządzeń oraz systemów podłączonych do sieci.
CRA wprowadza nowe standardy cyberbezpieczeństwa dla produktów oferowanych na rynku Unii Europejskiej. Obejmują one m.in. sposób projektowania i rozwijania produktów, zarządzanie wykrytymi podatnościami, przejrzystość w zakresie cyberbezpieczeństwa oraz zapewnienie odpowiedniego wsparcia przez cały okres użytkowania rozwiązania.
W praktyce oznacza to zmianę także po stronie kupujących. Przy wyborze technologii coraz większe znaczenie będą miały nie tylko jej funkcje, cena czy łatwość integracji, lecz również sposób, w jaki producent podchodzi do cyberbezpieczeństwa. Długość wsparcia, tempo reagowania na podatności, transparentność oraz bezpieczeństwo uwzględnione już na etapie projektowania mogą stać się jednymi z kluczowych kryteriów oceny dostawcy.
– Unijny akt o cyberodporności wzmacnia wiele zasad dotyczących bezpieczeństwa już na etapie projektowania oraz zarządzania całym cyklem życia produktu, które Genetec promuje od lat. Podnosząc wymagania dotyczące bezpieczeństwa produktów i przejrzystości, przepisy CRA dają nabywcom jasną podstawę do pełnej oceny dostawców technologii oraz długoterminowej odporności cybernetycznej ich produktów – Mathieu Chevalier, Principal Security Architect w Genetec Inc.
Od 11 września większa odpowiedzialność za podatności
Jednym z istotnych elementów nowych regulacji są zasady dotyczące zgłaszania podatności na ataki. Zwiększają one odpowiedzialność producentów i dostawców technologii za sposób identyfikowania luk, reagowania na nie oraz informowania o zagrożeniach. W efekcie szybkość reakcji na podatność, sposób wdrażania poprawek czy jakość komunikacji z użytkownikami przestają być wyłącznie elementem dobrej praktyki. Stają się istotnym obszarem oceny dostawcy i jego gotowości do funkcjonowania w nowych realiach regulacyjnych.
Nowe wymagania sprawiają, że ocena dostawcy technologii nie może kończyć się na funkcjonalności produktu i jego cenie. Coraz większe znaczenie ma to, co dzieje się z rozwiązaniem po wdrożeniu: jak długo jest wspierane, jak szybko producent reaguje na luki i czy potrafi jasno komunikować ryzyko.
Długie wsparcie przestaje być dodatkiem
Jednym z najważniejszych kryteriów staje się długość wsparcia produktu. Organizacje powinny wiedzieć jeszcze przed zakupem, jak długo rozwiązanie będzie otrzymywało aktualizacje bezpieczeństwa, co stanie się po zakończeniu jego sprzedaży oraz jak producent będzie reagował na podatności wykryte już po wdrożeniu.
Nowe przepisy zwiększają znaczenie jasno określonego okresu wsparcia i zarządzania podatnościami. W praktyce oznacza to, że polityka aktualizacji może mieć coraz większy wpływ na decyzje zakupowe.
Bezpieczeństwo ma zaczynać się na etapie projektu
Drugim kluczowym obszarem jest sposób, w jaki producent podchodzi do bezpieczeństwa jeszcze zanim produkt trafi na rynek.
CRA wzmacnia zasadę „security by design”, zgodnie z którą mechanizmy ochronne powinny być częścią procesu projektowania, rozwoju i testowania rozwiązania. Dla klientów oznacza to potrzebę sprawdzenia, czy cyberbezpieczeństwo jest wpisane w architekturę produktu, czy pojawia się dopiero jako reakcja na wykryte problemy.
Szybkość reakcji na podatności stanie się miernikiem wiarygodności
Sam fakt wykrycia luki nie przesądza o jakości produktu. Coraz ważniejsze będzie to, co producent zrobi dalej.
Liczyć się będzie tempo analizy zagrożenia, sposób oceny jego ryzyka, szybkość przygotowania poprawki oraz to, czy użytkownicy zostaną o problemie poinformowani w jasny i odpowiedzialny sposób. Przejrzysty proces zarządzania podatnościami może stać się jednym z najważniejszych wskaźników dojrzałości dostawcy.
Transparentność będzie miała większą wartość
Wraz ze wzrostem wymagań regulacyjnych rośnie znaczenie otwartej komunikacji o cyberbezpieczeństwie.
Dostawcy, którzy jasno opisują swoje procedury testowania, publikują informacje o podatnościach, komunikują dostępność poprawek i udostępniają zalecenia dotyczące bezpiecznej konfiguracji, dają klientom większą możliwość rzeczywistej oceny ryzyka.
Dla organizacji kupujących technologie oznacza to, że deklaracje dotyczące bezpieczeństwa powinny być coraz częściej poparte konkretnymi procesami, dokumentacją i dowodami.
Liczy się nie tylko produkt, ale również producent na lata
CRA dodatkowo wzmacnia znaczenie długoterminowej relacji z dostawcą. Bezpieczeństwo systemu nie kończy się bowiem w momencie instalacji. Znaczenie ma to, jak producent zarządza produktem przez kolejne lata: czy regularnie dostarcza aktualizacje, jak komunikuje koniec wsparcia, w jaki sposób reaguje na nowe zagrożenia i czy jest w stanie wykazać zgodność swoich procesów z wymaganiami dotyczącymi cyberbezpieczeństwa.
W efekcie decyzja zakupowa coraz częściej będzie oznaczała ocenę nie tylko samej technologii, ale również zdolności dostawcy do utrzymania jej bezpieczeństwa przez cały okres użytkowania.
„Organizacje najlepiej przygotowane do radzenia sobie z przyszłymi zagrożeniami cybernetycznymi traktują cyberbezpieczeństwo jako długoterminowe partnerstwo, a nie jednorazową decyzję zakupową. CRA wzmacnia takie podejście, ustanawiając wspólne oczekiwania dotyczące przejrzystości, uporządkowanego zarządzania podatnościami oraz długoterminowego wsparcia produktów. Korzystają na tym zarówno producenci i integratorzy, jak i organizacje, które polegają na połączonych systemach bezpieczeństwa fizycznego” – Mathieu Chevalier, Principal Security Architect w Genetec Inc.