Cosa è successo?
L'obbligo di notifica dell'EU Cyber Resilience Act (CRA) è entrato in vigore. In questo contesto, Genetec, fornitore di software per la sicurezza fisica, ha pubblicato una guida pensata per aiutare i responsabili della sicurezza a valutare le competenze in materia di cybersicurezza dei fornitori di tecnologia. La guida formula cinque domande chiave con cui le aziende possono valutare come i fornitori sviluppano, mantengono e supportano i prodotti connessi lungo l'intero ciclo di vita.
I dettagli
Il CRA stabilisce requisiti di cybersicurezza per i prodotti con elementi digitali venduti nell'Unione Europea. Al centro vi sono uno sviluppo sicuro dei prodotti, una gestione efficace delle vulnerabilità, trasparenza in materia di cybersicurezza e un supporto continuo dei prodotti lungo tutto il ciclo di vita. Il regolamento si rivolge in primo luogo ai produttori, ma ha ripercussioni anche sulle aziende che distribuiscono, installano, acquistano e gestiscono dispositivi connessi, quindi anche sugli operatori di sistemi di allarme, videosorveglianza o controllo accessi.
Genetec raccomanda ai responsabili della sicurezza di porre ai potenziali fornitori di tecnologia le seguenti cinque domande:
- Per quanto tempo il prodotto riceve aggiornamenti di sicurezza e supporto? Il CRA obbliga i produttori a fornire aggiornamenti di sicurezza per un periodo di supporto definito, che in linea di massima comprende almeno cinque anni o la durata prevista di utilizzo del prodotto, se inferiore.
- La cybersicurezza è stata integrata fin dall'inizio? I principi "Secured by Design" e "Secure by Default" sono al centro del CRA. I fornitori dovrebbero essere in grado di spiegare come la cybersicurezza sia stata integrata nella progettazione, nello sviluppo, nei test e nell'intero ciclo di vita del prodotto.
- Come individua, comunica e risolve il fornitore le vulnerabilità di sicurezza? Ciò comprende test di sicurezza regolari, una procedura coordinata di divulgazione delle vulnerabilità, la loro risoluzione tempestiva e basata sul rischio, la distribuzione sicura degli aggiornamenti e informazioni chiare sulle vulnerabilità risolte.
- Il fornitore è trasparente riguardo alle proprie pratiche di cybersicurezza? I fornitori responsabili comunicano come sviluppano, testano e mantengono i prodotti, fornendo a clienti e integratori di sistemi linee guida chiare per una distribuzione sicura.
- In che modo il fornitore supporta la resilienza informatica a lungo termine? Ciò include le modalità con cui viene definito e comunicato il periodo di supporto, come vengono gestite le vulnerabilità di sicurezza, come vengono distribuiti gli aggiornamenti e come viene organizzata la fine del ciclo di vita del prodotto.
Mathieu Chevalier, Principal Security Architect presso Genetec Inc., inquadra così lo sviluppo: "Il Cyber Resilience Act rafforza molti principi del 'Secure-by-Design' e della gestione del ciclo di vita, per i quali Genetec si impegna da anni. Le normative del CRA aumentano i requisiti in materia di sicurezza dei prodotti e trasparenza, offrendo così agli acquirenti una base chiara per valutare i fornitori di tecnologia e ottimizzando a lungo termine la loro resilienza informatica."
Inquadramento
Per il settore della tecnologia di sicurezza fisica – dalla videosorveglianza al controllo accessi fino ai sistemi di allarme connessi – il CRA rappresenta un cambiamento significativo. I dispositivi che in passato venivano valutati principalmente sotto il profilo della sicurezza meccanica o strutturale, ad esempio le cassette di deposito o le ceppaie di sacrificio, oggi sono sempre più connessi e quindi esposti a potenziali rischi informatici. Chi acquista, installa o gestisce tecnologia connessa assumerà in futuro una corresponsabilità nel garantire che questi sistemi siano conformi ai requisiti del CRA. Il regolamento sposta così l'attenzione da una decisione d'acquisto una tantum verso una partnership continuativa tra fornitore e gestore.
Consigli pratici
- Prima dell'acquisto, chiarire per quanto tempo il produttore garantisce gli aggiornamenti di sicurezza – il valore di riferimento secondo il CRA è di almeno cinque anni o la durata prevista di utilizzo.
- Chiedere se i principi "Secure by Design" e "Secure by Default" sono stati considerati già nella fase di sviluppo.
- Verificare le procedure del fornitore per la gestione delle vulnerabilità, in particolare i processi di divulgazione e risoluzione delle falle di sicurezza.
- Richiedere trasparenza: il fornitore documenta le proprie pratiche di sicurezza e fornisce istruzioni per l'hardening del sistema?
- Richiedere con anticipo le strategie di fine supporto (End-of-Life) dei prodotti, anche per componenti connessi come un Wardhub nei sistemi di sicurezza.
Prospettive
Con l'entrata in vigore dell'obbligo di notifica del CRA, la cybersicurezza diventa un criterio di valutazione fisso nella scelta della tecnologia di sicurezza fisica. Le aziende che gestiscono soluzioni di sicurezza connesse dovrebbero utilizzare le cinque domande citate come base per i colloqui con i fornitori e adeguare di conseguenza i propri processi di approvvigionamento. A lungo termine, secondo Chevalier, è destinato ad affermarsi un approccio in cui la cybersicurezza non viene intesa come una decisione una tantum, bensì come una partnership continuativa tra produttori, integratori di sistemi e gestori.
