Vad har hänt?
Anmälningsplikten enligt EU:s Cyber Resilience Act (CRA) har trätt i kraft. Mot denna bakgrund har Genetec, en leverantör av programvara för fysisk säkerhet, publicerat en vägledning som ska hjälpa säkerhetsansvariga att bedöma teknikleverantörers kompetens inom cybersäkerhet. Vägledningen formulerar fem centrala frågor som företag kan använda för att utvärdera hur leverantörer utvecklar, underhåller och stödjer uppkopplade produkter under hela deras livscykel.
Detaljerna
CRA fastställer krav på cybersäkerhet för produkter med digitala element som säljs inom Europeiska unionen. I fokus står säker produktutveckling, fungerande sårbarhetshantering, transparens kring cybersäkerhet samt kontinuerlig produktsupport under hela livscykeln. Förordningen riktar sig i första hand till tillverkare, men påverkar även företag som distribuerar, installerar, upphandlar och driftar uppkopplade enheter – alltså även operatörer av larmsystem, videoövervakning eller passerkontrollsystem.
Genetec rekommenderar att säkerhetsansvariga ställer följande fem frågor till potentiella teknikleverantörer:
- Hur länge får produkten säkerhetsuppdateringar och support? CRA förpliktar tillverkare att tillhandahålla säkerhetsuppdateringar under en definierad supportperiod, som i regel ska omfatta minst fem år eller produktens förväntade användningstid, om denna är kortare.
- Har cybersäkerhet integrerats från första början? Principerna "Secured by Design" och "Secure by Default" står i centrum för CRA. Leverantörer bör kunna förklara hur cybersäkerhet har beaktats i design, utveckling, tester och under hela produktlivscykeln.
- Hur identifierar, kommunicerar och åtgärdar leverantören säkerhetsbrister? Detta innefattar regelbundna säkerhetstester, ett koordinerat förfarande för att offentliggöra sårbarheter, snabb och riskbaserad åtgärd av dessa, säker distribution av uppdateringar samt tydlig information om åtgärdade sårbarheter.
- Är leverantören transparent kring sina egna cybersäkerhetsrutiner? Ansvarsfulla leverantörer kommunicerar hur de utvecklar, testar och underhåller produkter, och ger kunder samt systemintegratörer tydliga riktlinjer för säker driftsättning.
- Hur stödjer leverantören långsiktig cyberresiliens? Detta omfattar hur supportperioden fastställs och kommuniceras, hur sårbarheter hanteras, hur uppdateringar distribueras och hur produktens livscykelslut organiseras.
Mathieu Chevalier, Principal Security Architect på Genetec Inc., kommenterar utvecklingen: "Cyber Resilience Act bekräftar många av de principer för 'Secure-by-Design' och livscykelhantering som Genetec har förespråkat i flera år. CRA-bestämmelserna höjer kraven på produktsäkerhet och transparens och ger därmed köpare en tydlig grund för att bedöma teknikleverantörer och på lång sikt optimera sin cyberresiliens."
Sammanhang
För branschen för fysisk säkerhetsteknik – från videoövervakning via passerkontroll till uppkopplade larmsystem – innebär CRA en märkbar förändring. Enheter som tidigare främst bedömdes utifrån mekaniska eller konstruktionsmässiga säkerhetsaspekter, till exempel insättningsvalv eller fångstanordningar, är idag alltmer uppkopplade och därmed utsatta för potentiella cyberrisker. Den som upphandlar, installerar eller driftar uppkopplad teknik bär framöver ett medansvar för att dessa system uppfyller CRA-kraven. Förordningen flyttar därmed fokus från ett engångsköp till ett kontinuerligt partnerskap mellan leverantör och operatör.
Praktiska tips
- Klargör innan upphandling hur länge tillverkaren garanterar säkerhetsuppdateringar – riktmärket enligt CRA är minst fem år eller den förväntade användningstiden.
- Fråga om "Secure by Design" och "Secure by Default" redan har beaktats under utvecklingsfasen.
- Granska leverantörens förfaranden för sårbarhetshantering, särskilt processer för att offentliggöra och åtgärda säkerhetsbrister.
- Kräv transparens: Dokumenterar leverantören sina egna säkerhetsrutiner och tillhandahåller anvisningar för systemhärdning?
- Fråga i god tid om strategier för produkternas livscykelslut (end-of-life), även för uppkopplade komponenter som en Wardhub i säkerhetssystem.
Framtidsutsikter
Med ikraftträdandet av CRA:s anmälningsplikt blir cybersäkerhet ett fast utvärderingskriterium vid val av fysisk säkerhetsteknik. Företag som driftar uppkopplade säkerhetslösningar bör använda de fem nämnda frågorna som grund för leverantörssamtal och anpassa sina upphandlingsprocesser därefter. På lång sikt kommer, enligt Chevalier, sannolikt ett synsätt att etableras där cybersäkerhet inte ses som ett engångsbeslut, utan som ett kontinuerligt partnerskap mellan tillverkare, systemintegratörer och operatörer.
