Готовността на CRA започва преди 2027 г.: Как ODOT се подготвя сега

Законът за киберустойчивост влезе в сила на 10 декември 2024 г.Основните му задължения ще се прилагат от 11 декември 2027 г., докато задълженията за докладване съгласно Агенцията за кредитен рейтинг (CRA) ще започнат да се прилагат от 11 септември 2026 г..

За производителите на продукти с цифравсички елементи, това означава едно нещо:

CRA е повече от окончателна проверка за съответствие

Киберсигурността не може просто да се добави към продукт, след като разработката е приключила.

За производителите на индустриална автоматизация, готовността за CRA (Center of Resource Analysis Act) включва много повече от завършване на един тест или подготовка на един технически документ. Тя изисква съображенията за киберсигурност да станат част от жизнения цикъл на продукта – от изискванията и разработката до проверката, обработката на уязвимости, актуализациите и документацията.

В ODOT това е подходът, който прилагаме днес.

Нашата подготвителна работа постепенно свързва:

Целта е регулаторните изисквания да се превърнат в практични и проследими инженерни действия.

От изискванията към продукта до оценката на риска за киберсигурност

Киберсигурността започва много по-рано от тестването на крайния продукт.

По време на етапа на изискванията за продукта, съображенията за сигурност трябва да бъдат идентифицирани и включени в процеса на разработка. Външни интерфейси – включително мрежови портове, комуникация Протоколи други достъпни интерфейси – също трябва да се разбират като част от потенциалната повърхност за атака на продукта.
След като тези интерфейси бъдат разбрани, потенциалните рискове за киберсигурността могат да бъдат идентифицирани, оценени и адресирани.

Важното е не само да се вземат инженерни решения, но и да се гарантира, че разсъжденията и произтичащите от тях действия остават документирани и проследими през целия жизнен цикъл на продукта.

Киберсигурността продължава и след като продуктът напусне фабриката

Готовността за CRA не приключва с пускането на продукта на пазара.

Индустриалните продукти продължават да се развиват чрез промени във фърмуера, актуализации на софтуера и нови версии. Когато се докладва проблем със сигурността или уязвимост, производителите се нуждаят от процеси за получаване, оценка, отстраняване, проверка и документиране на проблема.

Това прави управлението на уязвимостите непрекъсната дейност, а не еднократна задача за разработка.

Актуализациите на софтуера също трябва да бъдат контролирани и проверявани. Идентичността на продукта – включително сериен номер, версия на хардуера и версия на фърмуера – помага за свързването на промените, резултатите от тестовете и последващите действия с правилната конфигурация на продукта.

Документацията е част от жизнения цикъл

Оценките на риска, записите за версиите, тестовите доклади, записите за уязвимости и записите за актуализации заедно образуват проследим набор от доказателства.

Следователно техническата документация не трябва да се третира като последна административна стъпка след приключване на инженерната работа. Тя е част от самия жизнен цикъл на продукта.

Същевременно съответните хармонизирани стандарти все още се разработват. ODOT продължава да следи процеса на стандартизация и ще преразглежда и синхронизира дейностите си по подготовка, когато съответните стандарти станат налични.

ODOT се подготвя сега