Гатоўнасць CRA пачынаецца да 2027 года: як ODOT рыхтуецца зараз

Калі сапраўды пачне дзейнічаць Закон ЕС аб ​​кіберстойкасці?

Для многіх вытворцаў снежань 2027 года па-ранейшаму лічыцца ключавой датай. Але гатоўнасць CRA нельга проста адкласці да таго часу.

Закон аб кіберстойкасці ўступіў у сілу 10 снежня 2024 года . Яго асноўныя абавязацельствы пачнуць прымяняцца з 11 снежня 2027 года , а абавязацельствы па справаздачнасці ў адпаведнасці з CRA пачнуць прымяняцца з 11 верасня 2026 года .

Для вытворцаў прадукцыі з лічбавымі элементамі гэта азначае адно:

Падрыхтоўку CRA трэба пачаць да 2027 года.

CRA - гэта больш, чым канчатковая праверка адпаведнасці

Кібербяспеку нельга проста дадаць у прадукт пасля завяршэння распрацоўкі.

Для вытворцаў прамысловай аўтаматызацыі гатоўнасць да CRA прадугледжвае значна больш, чым выкананне аднаго тэсту або падрыхтоўка аднаго тэхнічнага дакумента. Гэта патрабуе, каб меркаванні кібербяспекі сталі часткай жыццёвага цыкла прадукту - ад патрабаванняў і распрацоўкі да праверкі, апрацоўкі ўразлівасцяў, абнаўленняў і дакументацыі.

У ODOT гэта падыход, які мы прытрымліваемся сёння.

Наша падрыхтоўчая праца паступова злучае:

· Агляд патрабаванняў да прадукту

· Аналіз сеткавага інтэрфейсу і паверхні атакі

· Ацэнка рызыкі кібербяспекі

· Праграмнае забеспячэнне і кантроль версій

· Праверка і тэставанне прадукту

· Адсочванне прадукту і прашыўкі

· Апрацоўка ўразлівасцяў

· Абнаўлення праграмнага забеспячэння

· Тэхнічная дакументацыя

Мэта складаецца ў тым, каб ператварыць нарматыўныя патрабаванні ў практычныя і прасочваемыя інжынерныя дзеянні.

Ад патрабаванняў да прадукцыі да ацэнкі рызык кібербяспекі

Кібербяспека пачынаецца значна раней, чым тэставанне канчатковага прадукту.

На этапе патрабаванняў да прадукту неабходна вызначыць і ўключыць іх у працэс распрацоўкі меркаванні бяспекі. Знешнія інтэрфейсы, у тым ліку сеткавыя парты, пратаколы сувязі і іншыя даступныя інтэрфейсы, таксама павінны разглядацца як частка патэнцыйнай паверхні атакі прадукту.
Пасля таго, як гэтыя інтэрфейсы зразумелыя, патэнцыйныя рызыкі кібербяспекі можна вызначыць, ацаніць і ліквідаваць.

Важным з'яўляецца не толькі прыняцце інжынерных рашэнняў, але і забеспячэнне таго, каб развагі і выніковыя дзеянні задакументаваліся і прасочваліся на працягу ўсяго жыццёвага цыкла прадукту.

Кібербяспека працягваецца пасля таго, як прадукт пакіне завод

Гатоўнасць CRA не заканчваецца, калі прадукт выпускаецца.

Прамысловыя прадукты працягваюць развівацца праз змяненне прашыўкі, абнаўленне праграмнага забеспячэння і новыя версіі. Калі паведамляецца аб праблеме бяспекі або ўразлівасці, вытворцам неабходныя працэсы для атрымання, ацэнкі, выпраўлення, праверкі і дакументавання праблемы.

Гэта робіць кіраванне ўразлівасцямі бесперапыннай дзейнасцю, а не аднаразовай задачай распрацоўкі.

Абнаўленне праграмнага забеспячэння таксама неабходна кантраляваць і правяраць. Ідэнтыфікацыя прадукту, уключаючы серыйны нумар, версію апаратнага забеспячэння і версію прашыўкі, дапамагае звязаць змены, вынікі тэстаў і наступныя дзеянні з правільнай канфігурацыяй прадукту.

Дакументацыя з'яўляецца часткай жыццёвага цыкла

Ацэнкі рызык, запісы версій, справаздачы аб выпрабаваннях, запісы аб уразлівасцях і запісы абнаўленняў разам утвараюць сукупнасць доказаў, якую можна прасачыць.

Таму тэхнічная дакументацыя не павінна разглядацца як апошні адміністрацыйны этап пасля завяршэння інжынерных работ. Гэта частка самога жыццёвага цыкла прадукту.

У той жа час адпаведныя гарманізаваныя стандарты яшчэ распрацоўваюцца. ODOT працягвае сачыць за працэсам стандартызацыі і будзе разглядаць і ўзгадняць сваю падрыхтоўчую дзейнасць па меры з'яўлення адпаведных стандартаў.

ODOT рыхтуецца зараз

CRA - гэта не адзін тэст.

Гэта не адзін дакумент.

І гэта не кампетэнцыя аднаго ведамства.

Гэта патрабаванні да падключэння жыццёвага цыкла, ацэнка рызыкі, распрацоўка, праверка, кантроль версій, апрацоўка ўразлівасцяў, абнаўленні і дакументацыя .

Вось чаму ODOT ужо працуе над пераўтварэннем патрабаванняў кібербяспекі ў практычныя працэсы распрацоўкі і жыццёвага цыкла прадукту.

Гатоўнасць CRA пачынаецца да 2027 года.

ODOT рыхтуецца зараз.

Паглядзіце відэа, каб убачыць, як ODOT набліжаецца да гатоўнасці CRA на працягу ўсяго жыццёвага цыкла прамысловай прадукцыі.