Što se dogodilo?
Obveza prijavljivanja prema Aktu EU-a o kibernetičkoj otpornosti (Cyber Resilience Act, CRA) stupila je na snagu. U tom kontekstu Genetec, dobavljač softvera za fizičku sigurnost, objavio je vodič koji sigurnosnim djelatnicima treba pomoći u procjeni kompetencije dobavljača tehnologije u području kibernetičke sigurnosti. Vodič formulira pet ključnih pitanja pomoću kojih tvrtke mogu procijeniti kako dobavljači razvijaju, održavaju i podržavaju umrežene proizvode tijekom cijelog životnog ciklusa.
Detalji
CRA utvrđuje zahtjeve kibernetičke sigurnosti za proizvode s digitalnim elementima koji se prodaju u Europskoj uniji. U središtu su sigurni razvoj proizvoda, funkcionalno upravljanje ranjivostima, transparentnost u pogledu kibernetičke sigurnosti te kontinuirana podrška proizvodu tijekom cijelog životnog ciklusa. Iako se uredba prvenstveno odnosi na proizvođače, utječe i na tvrtke koje distribuiraju, instaliraju, nabavljaju i upravljaju umreženim uređajima – dakle i na operatere alarmnih sustava, videonadzora ili sustava kontrole pristupa.
Genetec preporučuje sigurnosnim djelatnicima da potencijalnim dobavljačima tehnologije postave sljedećih pet pitanja:
- Koliko dugo proizvod prima sigurnosne nadogradnje i podršku? CRA obvezuje proizvođače da osiguraju sigurnosne nadogradnje tijekom definiranog razdoblja podrške, koje u pravilu obuhvaća najmanje pet godina ili očekivani vijek trajanja proizvoda, ovisno o tome što je kraće.
- Je li kibernetička sigurnost ugrađena od samog početka? Načela „Secured by Design“ i „Secure by Default“ u središtu su CRA-a. Dobavljači bi trebali moći objasniti kako je kibernetička sigurnost uključena u dizajn, razvoj, testiranje i cijeli životni ciklus proizvoda.
- Kako dobavljač identificira, komunicira i otklanja sigurnosne propuste? To uključuje redovita sigurnosna testiranja, koordinirani postupak otkrivanja ranjivosti, njihovo brzo i rizikom utemeljeno otklanjanje, sigurnu isporuku nadogradnji te jasne informacije o otklonjenim ranjivostima.
- Je li dobavljač transparentan u pogledu vlastitih praksi kibernetičke sigurnosti? Odgovorni dobavljači komuniciraju kako razvijaju, testiraju i održavaju proizvode te pružaju klijentima i integratorima sustava jasne smjernice za sigurnu implementaciju.
- Kako dobavljač podupire dugoročnu kibernetičku otpornost? To uključuje način na koji se određuje i komunicira razdoblje podrške, kako se postupa sa sigurnosnim propustima, kako se isporučuju nadogradnje i kako se organizira kraj životnog vijeka proizvoda.
Mathieu Chevalier, glavni sigurnosni arhitekt u tvrtki Genetec Inc., komentira razvoj situacije: „Akt o kibernetičkoj otpornosti potvrđuje mnoga načela ‚sigurnosti po dizajnu‘ i upravljanja životnim ciklusom za koja se Genetec zalaže već godinama. Propisi CRA-a povećavaju zahtjeve u pogledu sigurnosti proizvoda i transparentnosti, pružajući tako kupcima jasnu osnovu za procjenu dobavljača tehnologije i dugoročno optimizirajući njihovu kibernetičku otpornost.“
Kontekst
Za industriju fizičke sigurnosne tehnike – od videonadzora preko kontrole pristupa do umreženih alarmnih sustava – CRA predstavlja značajnu promjenu. Uređaji koji su se ranije ocjenjivali prvenstveno s mehaničkog ili građevinskog sigurnosnog aspekta, primjerice kod sefova za ubacivanje ili stupova za pričvršćivanje, danas su sve više umreženi i time izloženi potencijalnim kibernetičkim rizicima. Tko nabavlja, instalira ili upravlja umreženom tehnikom, ubuduće snosi dio odgovornosti za to da ti sustavi odgovaraju zahtjevima CRA-a. Uredba time pomiče fokus s jednokratne odluke o kupnji na kontinuirano partnerstvo između dobavljača i operatera.
Praktični savjeti
- Prije nabave razjasniti koliko dugo proizvođač jamči sigurnosne nadogradnje – prema CRA-u referentna vrijednost je najmanje pet godina ili očekivani vijek uporabe.
- Pitati jesu li „Secure by Design“ i „Secure by Default“ već uzeti u obzir u fazi razvoja.
- Provjeriti postupke dobavljača za upravljanje ranjivostima, posebno procese za otkrivanje i otklanjanje sigurnosnih propusta.
- Zahtijevati transparentnost: dokumentira li dobavljač vlastite sigurnosne prakse i pruža li upute za jačanje sigurnosti sustava?
- Pravovremeno se raspitati o strategijama za kraj podrške (end-of-life) proizvoda, uključujući umrežene komponente poput Wardhuba u sigurnosnim sustavima.
Izgledi
Stupanjem na snagu CRA obveze prijavljivanja, kibernetička sigurnost postaje stalni kriterij procjene pri odabiru fizičke sigurnosne tehnike. Tvrtke koje upravljaju umreženim sigurnosnim rješenjima trebale bi navedenih pet pitanja koristiti kao osnovu za razgovore s dobavljačima te prilagoditi svoje procese nabave u skladu s tim. Dugoročno će se, prema Chevalieru, vjerojatno nametnuti pristup u kojem se kibernetička sigurnost ne shvaća kao jednokratna odluka, već kao kontinuirano partnerstvo između proizvođača, integratora sustava i operatera.
