Posílení bezpečnosti sítě IoT a soulad se směrnicí RED

Informatec Digital » Zdroje » Posílení bezpečnosti sítě IoT a soulad se směrnicí RED

Exploze zařízení internetu věcí a rádiových zařízení v domácnostech, továrnách, energetice, zdravotnictví a dopravě zcela změnila způsob, jakým se připojujeme… a také oblast útoku dostupnou kyberzločincům. Každý chytrý měřič, každé nositelné zařízení a každý průmyslový senzor je v praxi potenciálním vstupním bodem do sítě, pokud nebyl od začátku navržen s ohledem na bezpečnost.

V této souvislosti se posílení sítí internetu věcí v rámci směrnice o rádiových zařízeních (RED) a připravovaného zákona o kybernetické odolnosti (CRA) stalo kritickou otázkou pro výrobce, integrátory, provozovatele a všechny společnosti prodávající připojené produkty v Evropské unii. Nejde jen o „dodržování dokumentace“: nové právní povinnosti ukládají velmi specifické požadavky na kybernetickou bezpečnost, soukromí a ochranu před podvody, které mají dopad na návrh hardwaru, firmwaru, softwaru, konektivity a cloudových služeb.

Evropský právní rámec: proč RED a CRA mění všechno

Během posledního desetiletí se internet věcí rozšířil díky technologiím, jako jsou Wi-Fi, Bluetooth a NFC, které proměnily nespočet produktů v rádiová zařízení schopná komunikovat mezi sebou navzájem i s cloudem. V kybernetické bezpečnosti jsou však tato zařízení považována za jedno z nejslabších míst: mnoha řešením pro chytrou domácnost stále chybí i minimální ochrana a v průmyslovém a výrobním prostředí stále existují obrovské mezery v zabezpečení IT i OT.

Ekonomický dopad této situace je brutální: celosvětové náklady na kyberkriminalitu dosáhly v roce 2020 podle Rady EU přibližně 5,5 bilionu eur a nedávné studie, jako například studie společnosti Trend Micro, ukazují, že téměř 90 % německých energetických, ropných a plynárenských nebo výrobních společností utrpělo kybernetické útoky během pouhých 12 měsíců, s průměrnými škodami téměř 3 miliony eur na společnost.

Mezitím vzestup nositelné elektroniky a obchodních modelů založených na datech a umělé inteligenci dále zdůraznil důležitost ochrany osobních údajů. Nařízení, jako je GDPR (nařízení (EU) 2016/679) nebo dřívější směrnice R&TTE 1999/5/ES, nedostatečně pokrývají typy hrozeb, kterým v současnosti čelí připojená zařízení, zejména pokud jde o pokročilé kybernetické útoky, online podvody a manipulaci se službami.

V reakci na to Evropská unie zpřísnila směrnici o rádiových zařízeních (RED) 2014/53/EU , která je platná od roku 2016 a nahradila směrnici R&TTE. RED již dříve regulovala elektromagnetickou kompatibilitu, elektrickou bezpečnost a efektivní využívání rádiového spektra; nyní zahrnuje také povinnosti na vysoké úrovni v oblasti kybernetické bezpečnosti, které se týkají většiny připojených rádiových zařízení, včetně mnoha zařízení internetu věcí.

Nařízení v přenesené pravomoci (EU) 2022/30 a článek 3(3)(d)-(f) směrnice o rádiových zařízeních

Skutečným zlomem bylo nařízení v přenesené pravomoci (EU) 2022/30 , které bylo přijato 29. října 2021. Toto nařízení „aktivuje“ články 3(3)(d), (e) a (f) směrnice NET, které definují, které kategorie rádiových zařízení musí splňovat nové požadavky na kybernetickou bezpečnost, soukromí a ochranu před podvody.

Norma se zaměřuje na několik obzvláště citlivých produktových řad, včetně velké části ekosystému IoT pro spotřebitele a profesionály :

• Rádiové zařízení připojené k internetuJakékoli zařízení, které může komunikovat se sítí, přímo či nepřímo. Patří sem chytré telefony, tablety, routery, domácí IoT zařízení, připojené průmyslové senzory atd.
• Rádiová zařízení pro péči o děti: produkty určené výhradně k monitorování nezletilých osob nebo k pomoci s péčí o ně, jako například připojené dětské chůvičky.
• Rádiová zařízení, na která se vztahuje směrnice o bezpečnosti hraček 2009/48/ESHračky s rádiovými funkcemi, které jsou schopné nahrávat, ukládat nebo sdílet informace, interagovat s uživateli (zejména dětmi) nebo které mají integrované mikrofony, reproduktory či senzory.
• Nositelná rádiová zařízenívše určené k nošení na oblečení nebo přes něj, jako například chytré hodinky, sledovače aktivity, headsety, sluchátka nebo chytré brýle.

Je důležité poznamenat, že některé kategorie jsou z tohoto nařízení vyloučeny , protože již mají svůj vlastní specifický rámec: zdravotnické prostředky (nařízení (EU) 2017/745 a 2017/746), vybavení civilního letectví, elektronické mýtné systémy a další zařízení regulovaná různými odvětvovými právními předpisy a vyloučená z působnosti směrnice RED.

Původně měly tyto nové povinnosti platit od 1. srpna 2024, ale Evropská komise se rozhodla toto datum odložit o jeden rok, aby dala odvětví čas. Nový povinný termín pro dosažení souladu s nařízením v přenesené pravomoci (EU) 2022/30 je 1. srpna 2025. Výrobci, distributoři a výrobci originálního vybavení (OEM), kteří integrují rádiové moduly, by měli tuto dobu využít k úpravě návrhů, zabezpečení vývojových procesů a dokumentace o shodě.

Požadavky na kybernetickou bezpečnost, soukromí a boj proti podvodům v síti

Články 3(3)(d), (e) a (f) směrnice o rádiových zařízeních obsahují jádro nových bezpečnostních požadavků, jejichž cílem je snížit rizika spojená s konektivitou rádiových zařízení, zejména zařízení internetu věcí.

Článek 3(3)(d) se týká všech rádiových zařízení připojených k internetu a vyžaduje, aby byla navržena tak, aby nepoškozovala síť ani její funkce, nezneužívala síťové zdroje ani nepřijatelně nesnižovala kvalitu služby . V praxi to znamená opatření, která zabrání tomu, aby napadené zařízení vyřadilo službu, spustilo útok DDoS nebo narušilo dostupnost kritických sítí.

Článek 3(3)(e) se zaměřuje na ochranu osobních údajů a soukromí uživatelů a předplatitelů. Vyžaduje, aby rádiová zařízení zpracovávající osobní údaje obsahovala ochranná opatření, která zabrání neoprávněnému přístupu nebo nesprávnému přenosu informací, například prostřednictvím robustních kontrol přístupu, šifrování dat při přenosu i v klidu a zásad ochrany soukromí již v návrhu a minimalizace dat.

Článek 3(3)(f) zavádí specifické požadavky na zařízení, která zpracovávají virtuální měnu nebo peněžní hodnoty , tj. zařízení používaná v digitálních platbách, elektronických peněženkách nebo podobných operacích. Tato zařízení musí zahrnovat vylepšené mechanismy proti podvodům, jako jsou silné mechanismy ověřování uživatelů, kontroly integrity transakcí a detekce podezřelé aktivity.

Článek 4 směrnice RED se dále zabývá klíčovým bodem ekosystému internetu věcí : kombinací rádiových zařízení se softwarem. Výrobci jsou povinni poskytovat informace o shodě zamýšlených kombinací hardwaru a softwaru a zajistit, aby i po aktualizaci nebo úpravě softwaru výrobek nadále splňoval základní požadavky směrnice.

Oblast použití: co se považuje za rádiové zařízení

Abychom přesně pochopili, co tyto povinnosti zahrnují, musíme se vrátit k samotné definici směrnice. Podle článku 2(1) směrnice RED je rádiové zařízení definováno jako jakýkoli elektrický nebo elektronický výrobek, který vysílá a/nebo přijímá rádiové vlny pro účely radiokomunikace nebo radionavigace, nebo který k tomu vyžaduje příslušenství (například anténu).

Tato definice je doplněna výjimkami v článku 1(2) a článku 1(3) a příloze I , které vylučují některá specificky regulovaná zařízení. Nařízení v přenesené pravomoci 2022/30 dále doplňuje podmínku, že zařízení musí být schopno se připojit k internetu, aby se na něj vztahovaly požadavky na kybernetickou bezpečnost podle článku 3(3)(d)-(f).

V praxi se většina produktů s funkcemi IoT a bezdrátovým připojením uváděných na trh v EU dostane pod radar RED: od připojeného termostatu až po průmyslový regulátor s celulárním modulem, včetně nositelné elektroniky, domácích routerů, chytrých reproduktorů nebo řešení pro chytré budovy.

Harmonizované normy EN 18031: technický plán

Aby Evropská komise usnadnila výrobcům prokazování shody, pověřila CEN a CENELEC vypracováním technických norem, které převedou právní požadavky do konkrétních kontrol a zkoušek. Tato práce vyústila v harmonizované normy řady EN 18031.

Od 28. ledna 2025 byly v rámci směrnice RED harmonizovány tři normy EN 18031 , které poskytují relativně jasnou cestu pro hodnocení kybernetické bezpečnosti:

• EN-18031 1: definuje základní požadavky na kybernetickou bezpečnost rádiových zařízení, včetně ověřování, šifrování, správy přihlašovacích údajů, mechanismů bezpečného spouštění a procesů aktualizace firmwaru.
• EN-18031 2Zaměřuje se na ochranu soukromí pro týmy, které zpracovávají osobní nebo lokalizační údaje, s opatřeními pro minimalizaci dat, kontrolu uživatelů a ochranu před úniky.
• EN-18031 3Zabývá se bezpečností zařízení používaných v digitálních platbách a virtuálních penězích, posiluje integritu transakcí a ochranu před podvody.

Přesto pouhé „zaškrtnutí políčka“ pro splnění normy nestačí . Některá ustanovení v těchto normách mají omezení a nepokrývají všechny scénáře. Například produkty, které umožňují provoz bez povinného hesla, postrádají odpovídající rodičovskou kontrolu nebo nabízejí volitelná nastavení zabezpečení, mohou vyžadovat další opatření nebo důkladnější hodnocení.

V takových případech se doporučuje zapojit notifikovanou osobu . Tyto osoby, určené členskými státy, jsou odpovědné za provádění posuzování shody, pokud je vyžadována nezávislá třetí strana. Komise vede oficiální seznam notifikovaných osob a spolupráce s jednou z nich pomáhá zajistit, aby výrobek splňoval všechny specifické požadavky, a to i v případě, že přímé použití harmonizovaných norem je nedostatečné.

RED a zákon o kybernetické odolnosti: překrývání a časová osa

Zákon o kybernetické odolnosti (CRA) přidává do evropského ekosystému kybernetické bezpečnosti další regulační vrstvu. Jeho působnost je ještě širší než u zákona RED, protože se vztahuje prakticky na všechny „produkty s digitálními prvky“: čipy, software, zařízení, aplikace atd. a pokrývá celý jejich životní cyklus, od návrhu až po aktualizace a správu zranitelností.

CRA stanoví základní požadavky, jako je povinnost poskytovat bezpečnostní aktualizace po dobu několika let (v návrzích je jako reference uvedeno pět let), a také specifické povinnosti týkající se správy zranitelností, odpovědného zveřejňování informací, informování uživatelů a hlášení incidentů. Produkty jsou seskupeny do kategorií s různými systémy dodržování předpisů: sebehodnocení pro nekritické produkty, hodnocení třetí stranou nebo aplikace norem pro kritickou třídu I a hodnocení národním orgánem pro kritickou třídu II.

K dnešnímu dni již CRA dosáhla politické dohody v rámci evropských institucí , ačkoli její hlavní požadavky nebudou uplatňovány dříve než přibližně tři roky po jejím vstupu v platnost. Povinnost hlásit zranitelnosti a kybernetické incidenty by však mohla vstoupit v platnost před koncem roku 2025, což donutí mnoho společností posílit své procesy reakce na incidenty.

Mezi směrnicí RED a CRA existuje jasné překrývání: většina rádiových zařízení jsou také výrobky s digitálními komponenty . CRA navíc zahrnuje stejné cíle kybernetické bezpečnosti jako články 3(3)(d)-(f) RED. Klíčovým bodem je však časový harmonogram: povinnosti podle směrnice RED a jejího nařízení v přenesené pravomoci vstoupí v platnost 1. srpna 2025, zatímco většina CRA vstoupí v platnost o něco později.

V praxi to znamená, že výrobce připojených termostatů, který uvede na trh produkt v září 2025, bude muset provést vlastní posouzení alespoň podle požadavků směrnice RED (nebo se spolehnout na notifikovanou osobu). Později, až bude CRA plně použitelná, bude možná muset provést druhé posouzení v rámci tohoto rámce, ačkoli se očekává určitá konvergence: požadavky RED se mohou nakonec stát podmnožinou požadavků CRA, což usnadní opětovné použití důkazů a dokumentace.

Technické zabezpečení sítí a zařízení IoT

Kromě dodržování předpisů vyžaduje posílení sítě IoT komplexní systémový přístup . Zabezpečení pouze zařízení nebo pouze cloudu nestačí: je třeba zvážit hardware, firmware, konektivitu, API, backend a provoz.

Mezi klíčové technické obranné postupy patří postupy, které jsou již v souladu s požadavky norem EN 18031, ETSI EN 303 645 nebo NIST 8259:

• Bezpečné spouštění a ověření firmwaru: zabránění spuštění neoprávněného kódu při spuštění zařízení, ověřování kryptografických podpisů a zajištění integrity firmwaru.
• Zpevnění rozhraníZakažte nepotřebné porty a služby, segmentujte sítě a chraňte rozhraní pro správu pomocí silného ověřování a pokud možno i omezeného přístupu.
• Šifrování komunikace: používat moderní protokoly, jako je TLS 1.2+ nebo 1.3, pro veškerý datový provoz, včetně telemetrie, řídicích příkazů a řídicích kanálů.
• Robustní správa přihlašovacích údajů: odstranit výchozí přihlašovací údaje, vynutit změnu při prvním použití, vynutit zásady pro silná hesla a v případě potřeby začlenit mechanismy vícefaktorového ověřování.
• Automatické a bezpečné aktualizacezavést procesy aktualizace OTA (Over-the-Air) s kryptografickým ověřováním, šifrovanými kanály a možností vrácení zpět v případě selhání.
• Zabezpečení API: ověřovat a autorizovat všechna volání třetích stran, omezovat oprávnění pomocí principů nejnižších oprávnění a auditovat přístup ke klíčovým zdrojům.
• Monitorování a analýza chováníPoužívejte řešení pro detekci anomálií, často poháněná umělou inteligencí, k identifikaci neobvyklého chování zařízení, přetečení provozu nebo typických vzorců malwaru.
• Zabezpečení dodavatelského řetězce: ověřovat původ hardwarových a softwarových komponent, provádět analýzu firmwaru a požadovat bezpečnostní záruky od dodavatelů.

Současně musí být ochrana soukromí nativně integrována . To zahrnuje nejen šifrování dat, ale také minimalizaci shromažďovaných informací, nabídku jasných uživatelských nastavení, zamezení zbytečného sledování a sladění zpracování dat s principy GDPR, a to jak již od návrhu, tak i ve výchozím nastavení.

Praktické dodržování směrnice RED: klíčové procesy a činitelé

Pro výrobce není dodržování směrnice o rádiových zařízeních a nařízení v přenesené pravomoci 2022/30 jen technickou záležitostí , ale také záležitostí procesů a řízení. Je vhodné mít jasnou mapu všech dotčených produktů, jejich architektury, dat, která zpracovávají, a platebních nebo monetizačních funkcí, které mohou aktivovat požadavky článku 3(3)(f).

V mnoha případech lze provést sebehodnocení , za předpokladu, že výrobek byl navržen v souladu s harmonizovanými normami a je vedena důkladná technická dokumentace. V případě složitých scénářů nebo pokud norma plně nepokrývá daný případ použití, však využití notifikované osoby poskytuje právní a technickou jistotu.

Zatímco odvětví čeká na dozrání harmonizovaných standardů a systémů hodnocení CRA, objevily se iniciativy, jako je PSA Certified , které nabízejí certifikační rámce v souladu s nově vznikajícími předpisy (RED, CRA a britský PSTI). Například PSA Certified úrovně 1 zahrnuje specializovanou regulační sekci, kde mohou výrobci dokumentovat svůj soulad s regulačními požadavky a předložit tuto dokumentaci k nezávislému přezkumu.

Tyto typy systémů, které jsou v souladu s osvědčenými postupy v oblasti globálního fungování, jako jsou normy EN 303 645 a NIST 8259 , umožňují výrobcům originálního vybavení (OEM), poskytovatelům softwaru a výrobcům čipů předběhnout budoucnost a od nynějška integrovat kontrolní mechanismy požadované směrnicemi RED i CRA a dalšími národními rámci.

Platformy IoT, aktualizace a správa vozového parku

Dalším klíčovým aspektem posílení sítí IoT je schopnost centrálně spravovat velké flotily zařízení . Bez robustní platformy pro správu je aplikace záplat, rotace certifikátů nebo detekce podezřelého chování ve velkém měřítku téměř nemožná.

V této oblasti nabývají na významu komplexní IoT řešení, která kombinují orchestraci dat, správu zařízení, bezdrátové aktualizace (OTA) a funkce umělé inteligence pro rozhodování. Funkce, jako je vzájemné ověřování SSL, pravidelná rotace certifikátů a bezpečné aktualizace firmwaru, posilují jak koncové zařízení, tak síť.

Některé platformy také integrují nástroje kybernetické bezpečnosti specifické pro IoT, včetně zabezpečení za běhu a průběžné analýzy zranitelností . To usnadňuje detekci odchylek v chování nasazených zařízení, odhalování zranitelností před i po nasazení v produkčním prostředí a prioritizaci zmírňujících opatření.

Tyto platformy zároveň slouží jako základ pro obchodní modely založené na servitizaci : monetizaci dat, modely předplatného, ​​pokročilé služby založené na umělé inteligenci/strojovém učení atd. Úsilí investované do dodržování předpisů RED a vylepšeného zabezpečení tak nejen snižuje riziko, ale také otevírá dveře novým zdrojům příjmů a nabídkám s přidanou hodnotou.

Celý tento promyšleně navržený přístup demonstruje jasný závazek k bezpečnosti a regulaci ze strany výrobců a poskytovatelů technologií, což je něco, čeho si stále více cení koncoví zákazníci i regulační orgány.

Významnou roli hrají také společnosti poskytující testovací, certifikační a posuzovací služby v oblasti shody , které nabízejí technické audity, laboratorní testy a dokonce i specializovaná školení týkající se předpisů RED, CRA a dalších předpisů. Využití jejich odborných znalostí může výrazně urychlit proces učení pro organizace, které se s tímto regulačním rámcem setkávají poprvé.

Stručně řečeno, posílení sítí internetu věcí (IoT) v rámci směrnice RED a budoucí CRA vyžaduje přehodnocení designu připojených produktů, posílení bezpečných procesů vývoje, monitorování a aktualizací a důkladné pochopení toho, jak každé zařízení zapadá do labyrintu evropských předpisů. Ti, kteří se této výzvy chopí dříve, budou mít lepší pozici ke snížení rizik, vyhnutí se sankcím a zároveň využijí příležitosti odlišit se prostřednictvím bezpečnosti, důvěry a kvality na stále náročnějším trhu internetu věcí.