2027년 CRA(지역사회 재투자법) 대비는 그 이전에 시작됩니다: 오하이오주 교통부(ODOT)는 지금 어떻게 준비하고 있을까요?

사이버 복원력법은 다음 날짜에 발효되었습니다. 2024년 12월 10일주요 의무 사항은 다음 날짜부터 적용됩니다. 2027년 12월 11일한편, 캐나다 국세청(CRA)에 따른 보고 의무는 부터 적용됩니다. 2026년 9월 11일.

제품 제조업체의 경우 손가락모든 요소는 한 가지를 의미합니다.

CRA는 단순한 최종 규정 준수 점검 그 이상입니다.

사이버 보안은 제품 개발이 완료된 후 단순히 추가할 수 있는 것이 아닙니다.

산업 자동화 제조업체에게 있어 CRA(사이버 위험 평가) 준비는 단순히 하나의 테스트를 완료하거나 하나의 기술 문서를 준비하는 것 이상의 의미를 지닙니다. 요구사항 정의 및 개발부터 검증, 취약점 처리, 업데이트 및 문서화에 이르기까지 제품 수명주기 전반에 걸쳐 사이버 보안 고려 사항이 포함되어야 합니다.

오하이오주 교통부(ODOT)는 오늘날 이러한 접근 방식을 취하고 있습니다.

우리의 준비 작업은 점진적으로 연결되고 있습니다:

목표는 규제 요구사항을 실질적이고 추적 가능한 엔지니어링 조치로 전환하는 것입니다.

제품 요구사항부터 사이버 보안 위험 평가까지

사이버 보안은 최종 제품 테스트보다 훨씬 이전부터 시작됩니다.

제품 요구사항 단계에서 보안 고려 사항을 파악하고 개발 프로세스에 반영해야 합니다. 외부 인터페이스에는 네트워크 포트, 통신 등이 포함됩니다. 규약s 및 기타 접근 가능한 인터페이스 또한 제품의 잠재적인 공격 표면의 일부로 이해되어야 합니다.
이러한 인터페이스를 이해하면 잠재적인 사이버 보안 위험을 식별, 평가 및 해결할 수 있습니다.

중요한 점은 엔지니어링 결정을 내리는 것뿐만 아니라, 그 결정의 근거와 그에 따른 조치가 제품 수명 주기 전반에 걸쳐 문서화되고 추적 가능하도록 보장하는 것입니다.

제품이 공장을 떠난 후에도 사이버 보안은 계속됩니다.

제품 출시 후에도 CRA(임상시험수탁기관) 준비는 계속되어야 합니다.

산업 제품은 펌웨어 변경, 소프트웨어 업데이트 및 새 버전 출시를 통해 지속적으로 발전합니다. 보안 문제나 취약점이 보고될 경우, 제조업체는 해당 문제를 접수, 평가, 해결, 검증 및 문서화하는 프로세스를 갖춰야 합니다.

이는 취약점 관리가 일회성 개발 작업이 아니라 지속적인 활동이 되도록 만듭니다.

소프트웨어 업데이트 또한 관리 및 검증이 필요합니다. 제품 식별 정보(일련 번호, 하드웨어 버전, 펌웨어 버전 포함)를 통해 변경 사항, 테스트 결과 및 후속 조치를 올바른 제품 구성과 연결할 수 있습니다.

문서화는 라이프사이클의 일부입니다.

위험 평가, 버전 기록, 테스트 보고서, 취약점 기록 및 업데이트 기록은 모두 함께 추적 가능한 증거 자료를 구성합니다.

따라서 기술 문서는 엔지니어링 작업이 완료된 후의 최종 행정 절차로 취급되어서는 안 됩니다. 기술 문서는 제품 수명 주기의 일부입니다.

동시에 관련 통일 표준은 여전히 ​​개발 중입니다. 오하이오주 교통부(ODOT)는 표준화 과정을 지속적으로 주시하고 있으며, 관련 표준이 마련되는 대로 준비 활동을 검토하고 조정할 것입니다.

오하이오주 교통부는 현재 준비 중입니다.