O que aconteceu?
A obrigação de notificação do Cyber Resilience Act (CRA) da UE entrou em vigor. Nesse contexto, a Genetec, fornecedora de software para segurança física, publicou um guia destinado a ajudar os responsáveis pela segurança a avaliar a competência em cibersegurança dos fornecedores de tecnologia. O guia formula cinco perguntas centrais com as quais as empresas podem avaliar como os fornecedores desenvolvem, mantêm e apoiam produtos conectados ao longo de todo o ciclo de vida.
Os detalhes
O CRA estabelece requisitos de cibersegurança para produtos com elementos digitais vendidos na União Europeia. O foco está num desenvolvimento seguro de produtos, numa gestão eficaz de vulnerabilidades, na transparência em matéria de cibersegurança e no suporte contínuo ao produto ao longo de todo o seu ciclo de vida. Embora o regulamento se dirija principalmente aos fabricantes, também afeta as empresas que distribuem, instalam, adquirem e operam dispositivos conectados – ou seja, também os operadores de sistemas de alarme, videovigilância ou controlo de acessos.
A Genetec recomenda que os responsáveis pela segurança coloquem aos potenciais fornecedores de tecnologia as seguintes cinco perguntas:
- Durante quanto tempo o produto receberá atualizações de segurança e suporte? O CRA obriga os fabricantes a fornecer atualizações de segurança durante um período de suporte definido, que deve abranger, em princípio, pelo menos cinco anos ou o tempo de vida útil esperado do produto, caso este seja mais curto.
- A cibersegurança foi integrada desde o início? Os princípios "Secured by Design" e "Secure by Default" estão no centro do CRA. Os fornecedores devem ser capazes de explicar como a cibersegurança foi incorporada no design, no desenvolvimento, nos testes e em todo o ciclo de vida do produto.
- Como é que o fornecedor identifica, comunica e corrige vulnerabilidades de segurança? Isto inclui testes de segurança regulares, um processo coordenado de divulgação de vulnerabilidades, a sua correção rápida e baseada em risco, a disponibilização segura de atualizações, bem como informações claras sobre as vulnerabilidades resolvidas.
- O fornecedor é transparente quanto às suas próprias práticas de cibersegurança? Fornecedores responsáveis comunicam como desenvolvem, testam e mantêm os produtos, e fornecem aos clientes e integradores de sistemas diretrizes claras para uma implementação segura.
- Como é que o fornecedor apoia a resiliência cibernética a longo prazo? Isto inclui como é definido e comunicado o período de suporte, como são tratadas as vulnerabilidades de segurança, como são disponibilizadas as atualizações e como é organizado o fim de vida útil do produto.
Mathieu Chevalier, Principal Security Architect na Genetec Inc., contextualiza a evolução: "O Cyber Resilience Act reforça muitos princípios do 'Secure-by-Design' e da gestão do ciclo de vida, pelos quais a Genetec se tem empenhado há anos. As disposições do CRA aumentam os requisitos de segurança e transparência dos produtos, oferecendo assim aos compradores uma base clara para avaliar os fornecedores de tecnologia e otimizar, a longo prazo, a sua resiliência cibernética."
Enquadramento
Para o setor da tecnologia de segurança física – desde a videovigilância ao controlo de acessos, passando pelos sistemas de alarme conectados – o CRA representa uma mudança significativa. Dispositivos que anteriormente eram avaliados principalmente sob aspetos de segurança mecânica ou estrutural, como cofres de depósito ou postes de contenção, estão hoje cada vez mais conectados e, portanto, expostos a potenciais riscos cibernéticos. Quem adquire, instala ou opera tecnologia conectada passará a assumir também a corresponsabilidade de garantir que esses sistemas cumprem os requisitos do CRA. O regulamento desloca assim o foco de uma decisão de compra pontual para uma parceria contínua entre fornecedor e operador.
Dicas práticas
- Antes da aquisição, esclarecer durante quanto tempo o fabricante garante atualizações de segurança – o valor de referência segundo o CRA é de, no mínimo, cinco anos ou o tempo de vida útil esperado.
- Perguntar se os princípios "Secure by Design" e "Secure by Default" já foram considerados na fase de desenvolvimento.
- Verificar os processos de gestão de vulnerabilidades do fornecedor, em particular os processos de divulgação e correção de falhas de segurança.
- Exigir transparência: o fornecedor documenta as suas próprias práticas de segurança e fornece orientações para o reforço dos sistemas?
- Perguntar antecipadamente sobre as estratégias de fim de vida útil (End-of-Life) dos produtos, incluindo componentes conectados como um Wardhub em sistemas de segurança.
Perspetivas
Com a entrada em vigor da obrigação de notificação do CRA, a cibersegurança torna-se um critério de avaliação fixo na seleção de tecnologia de segurança física. As empresas que operam soluções de segurança conectadas devem utilizar as cinco perguntas mencionadas como base para as conversas com fornecedores e adaptar os seus processos de aquisição em conformidade. A longo prazo, segundo Chevalier, deverá prevalecer uma abordagem em que a cibersegurança não é entendida como uma decisão pontual, mas sim como uma parceria contínua entre fabricantes, integradores de sistemas e operadores.
