Co się wydarzyło?
Obowiązek zgłaszania wynikający z unijnego Cyber Resilience Act (CRA) wszedł w życie. W tym kontekście Genetec, dostawca oprogramowania do zabezpieczeń fizycznych, opublikował przewodnik, który ma pomóc osobom odpowiedzialnym za bezpieczeństwo w ocenie kompetencji dostawców technologii w zakresie cyberbezpieczeństwa. Przewodnik formułuje pięć kluczowych pytań, dzięki którym firmy mogą ocenić, w jaki sposób dostawcy opracowują, utrzymują i wspierają produkty podłączone do sieci przez cały cykl ich życia.
Szczegóły
CRA określa wymagania w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi, które są sprzedawane w Unii Europejskiej. W centrum uwagi znajdują się bezpieczny rozwój produktu, skuteczne zarządzanie podatnościami, przejrzystość w zakresie cyberbezpieczeństwa oraz ciągłe wsparcie produktu przez cały cykl jego życia. Choć rozporządzenie skierowane jest przede wszystkim do producentów, wpływa również na firmy, które dystrybuują, instalują, zamawiają i eksploatują urządzenia podłączone do sieci – a więc także na operatorów systemów alarmowych, systemów dozoru wizyjnego czy kontroli dostępu.
Genetec zaleca osobom odpowiedzialnym za bezpieczeństwo zadanie potencjalnym dostawcom technologii następujących pięciu pytań:
- Jak długo produkt będzie otrzymywał aktualizacje bezpieczeństwa i wsparcie? CRA zobowiązuje producentów do dostarczania aktualizacji bezpieczeństwa przez określony czas wsparcia, który co do zasady obejmuje co najmniej pięć lat lub oczekiwany okres użytkowania produktu, jeśli jest on krótszy.
- Czy cyberbezpieczeństwo zostało uwzględnione od samego początku? Zasady „Secured by Design” i „Secure by Default” stanowią centralny element CRA. Dostawcy powinni być w stanie wyjaśnić, w jaki sposób cyberbezpieczeństwo zostało uwzględnione w projektowaniu, rozwoju, testowaniu i całym cyklu życia produktu.
- W jaki sposób dostawca identyfikuje, komunikuje i usuwa luki w zabezpieczeniach? Obejmuje to regularne testy bezpieczeństwa, skoordynowaną procedurę ujawniania podatności, ich szybkie i oparte na ryzyku usuwanie, bezpieczne dostarczanie aktualizacji oraz jasne informacje o usuniętych podatnościach.
- Czy dostawca jest przejrzysty w zakresie własnych praktyk cyberbezpieczeństwa? Odpowiedzialni dostawcy komunikują, w jaki sposób rozwijają, testują i utrzymują produkty, a klientom oraz integratorom systemów udostępniają jasne wytyczne dotyczące bezpiecznego wdrożenia.
- W jaki sposób dostawca wspiera długoterminową odporność cybernetyczną? Obejmuje to sposób ustalania i komunikowania okresu wsparcia, sposób postępowania z lukami w zabezpieczeniach, sposób dostarczania aktualizacji oraz sposób organizacji zakończenia cyklu życia produktu.
Mathieu Chevalier, Principal Security Architect w Genetec Inc., komentuje ten rozwój sytuacji: „Cyber Resilience Act potwierdza wiele zasad „Secure-by-Design” oraz zarządzania cyklem życia, za którymi Genetec opowiada się od lat. Przepisy CRA podnoszą wymagania dotyczące bezpieczeństwa produktów i przejrzystości, dając tym samym kupującym jasną podstawę do oceny dostawców technologii i długoterminowej optymalizacji ich odporności cybernetycznej”.
Ocena
Dla branży techniki zabezpieczeń fizycznych – od dozoru wizyjnego, przez kontrolę dostępu, po podłączone do sieci systemy alarmowe – CRA oznacza wyraźną zmianę. Urządzenia, które wcześniej oceniano przede wszystkim pod kątem mechanicznych lub konstrukcyjnych aspektów bezpieczeństwa, na przykład sejfy wrzutowe czy słupki ofiarne, są dziś coraz częściej podłączone do sieci, a tym samym narażone na potencjalne ryzyka cybernetyczne. Osoby zamawiające, instalujące lub eksploatujące podłączoną do sieci technikę będą w przyszłości współodpowiedzialne za to, aby systemy te spełniały wymagania CRA. Rozporządzenie przesuwa tym samym punkt ciężkości z jednorazowej decyzji zakupowej na ciągłe partnerstwo między dostawcą a operatorem.
Wskazówki praktyczne
- Przed zakupem wyjaśnić, jak długo producent gwarantuje aktualizacje bezpieczeństwa – wartość orientacyjna według CRA to co najmniej pięć lat lub oczekiwany okres użytkowania.
- Zapytać, czy zasady „Secure by Design” i „Secure by Default” zostały uwzględnione już na etapie rozwoju.
- Sprawdzić procedury dostawcy dotyczące zarządzania podatnościami, w szczególności procesy ujawniania i usuwania luk w zabezpieczeniach.
- Wymagać przejrzystości: czy dostawca dokumentuje własne praktyki bezpieczeństwa i dostarcza wytyczne dotyczące hartowania systemu?
- Zawczasu pytać o strategie dotyczące zakończenia wsparcia (End-of-Life) produktów, również w odniesieniu do podłączonych do sieci komponentów, takich jak Wardhub w systemach zabezpieczeń.
Perspektywy
Wraz z wejściem w życie obowiązku zgłaszania CRA cyberbezpieczeństwo staje się stałym kryterium oceny przy wyborze techniki zabezpieczeń fizycznych. Firmy eksploatujące podłączone do sieci rozwiązania bezpieczeństwa powinny wykorzystać wymienione pięć pytań jako podstawę rozmów z dostawcami i odpowiednio dostosować swoje procesy zakupowe. Jak zaznacza Chevalier, w dłuższej perspektywie prawdopodobnie upowszechni się podejście, w którym cyberbezpieczeństwo rozumiane jest nie jako jednorazowa decyzja, lecz jako ciągłe partnerstwo między producentami, integratorami systemów a operatorami.
