¿Qué ha ocurrido?
La obligación de notificación de la Ley de Resiliencia Cibernética de la UE (Cyber Resilience Act, CRA) ha entrado en vigor. En este contexto, Genetec, proveedor de software para seguridad física, ha publicado una guía destinada a ayudar a los responsables de seguridad a evaluar la competencia en ciberseguridad de los proveedores de tecnología. La guía formula cinco preguntas clave que permiten a las empresas valorar cómo los proveedores desarrollan, mantienen y respaldan los productos conectados a lo largo de todo su ciclo de vida.
Los detalles
El CRA establece requisitos de ciberseguridad para productos con elementos digitales que se comercializan en la Unión Europea. El foco está en un desarrollo de productos seguro, una gestión eficaz de vulnerabilidades, transparencia en materia de ciberseguridad y soporte continuo del producto durante todo su ciclo de vida. Aunque la normativa se dirige principalmente a los fabricantes, también afecta a las empresas que distribuyen, instalan, adquieren y operan dispositivos conectados, es decir, también a los operadores de sistemas de alarma, videovigilancia o control de accesos.
Genetec recomienda a los responsables de seguridad plantear a los posibles proveedores de tecnología las siguientes cinco preguntas:
- ¿Durante cuánto tiempo recibe el producto actualizaciones de seguridad y soporte? El CRA obliga a los fabricantes a proporcionar actualizaciones de seguridad durante un periodo de soporte definido, que en principio debe abarcar al menos cinco años o la vida útil prevista del producto, si esta es más corta.
- ¿Se integró la ciberseguridad desde el principio? Los principios de "Secured by Design" y "Secure by Default" son el eje central del CRA. Los proveedores deben poder explicar cómo se ha incorporado la ciberseguridad en el diseño, el desarrollo, las pruebas y todo el ciclo de vida del producto.
- ¿Cómo identifica, comunica y soluciona el proveedor las vulnerabilidades de seguridad? Esto incluye pruebas de seguridad periódicas, un proceso coordinado de divulgación de vulnerabilidades, su corrección rápida y basada en el riesgo, la distribución segura de actualizaciones y una información clara sobre las vulnerabilidades solucionadas.
- ¿Es el proveedor transparente respecto a sus propias prácticas de ciberseguridad? Los proveedores responsables comunican cómo desarrollan, prueban y mantienen sus productos, y ofrecen a clientes e integradores de sistemas pautas claras para una implementación segura.
- ¿Cómo respalda el proveedor la resiliencia cibernética a largo plazo? Esto incluye cómo se define y comunica el periodo de soporte, cómo se gestionan las vulnerabilidades de seguridad, cómo se distribuyen las actualizaciones y cómo se organiza el fin de vida útil del producto.
Mathieu Chevalier, arquitecto principal de seguridad en Genetec Inc., contextualiza el desarrollo: "La Ley de Resiliencia Cibernética refuerza muchos de los principios de 'seguridad desde el diseño' y de gestión del ciclo de vida por los que Genetec aboga desde hace años. Las disposiciones del CRA elevan las exigencias en materia de seguridad de los productos y transparencia, proporcionando así a los compradores una base clara para evaluar a los proveedores de tecnología y optimizar a largo plazo su resiliencia cibernética."
Contextualización
Para el sector de la tecnología de seguridad física —desde la videovigilancia hasta el control de accesos, pasando por los sistemas de alarma conectados— el CRA supone un cambio notable. Los dispositivos que antes se evaluaban principalmente desde el punto de vista de la seguridad mecánica o constructiva, como las cajas fuertes de depósito o los postes de retención, hoy están cada vez más conectados y, por tanto, expuestos a potenciales riesgos cibernéticos. Quien adquiere, instala u opera tecnología conectada asumirá en el futuro una corresponsabilidad en garantizar que estos sistemas cumplan los requisitos del CRA. La normativa desplaza así el foco de una decisión de compra puntual hacia una colaboración continua entre proveedor y operador.
Consejos prácticos
- Antes de la adquisición, aclarar durante cuánto tiempo garantiza el fabricante las actualizaciones de seguridad; el valor de referencia según el CRA es de al menos cinco años o la vida útil prevista.
- Preguntar si los principios "Secure by Design" y "Secure by Default" ya se tuvieron en cuenta en la fase de desarrollo.
- Revisar los procedimientos del proveedor para la gestión de vulnerabilidades, en particular los procesos de divulgación y corrección de fallos de seguridad.
- Exigir transparencia: ¿documenta el proveedor sus propias prácticas de seguridad y ofrece guías para el endurecimiento del sistema?
- Preguntar con antelación por las estrategias de fin de soporte (end-of-life) de los productos, también para componentes conectados como un Wardhub en sistemas de seguridad.
Perspectivas
Con la entrada en vigor de la obligación de notificación del CRA, la ciberseguridad se convierte en un criterio de evaluación fijo a la hora de seleccionar tecnología de seguridad física. Las empresas que operan soluciones de seguridad conectadas deberían utilizar las cinco preguntas mencionadas como base para las conversaciones con sus proveedores y adaptar en consecuencia sus procesos de adquisición. A largo plazo, según Chevalier, probablemente se imponga un enfoque en el que la ciberseguridad no se entienda como una decisión puntual, sino como una colaboración continua entre fabricantes, integradores de sistemas y operadores.
