Hærdning af IoT-netværk og overholdelse af RED-direktivet

Informatic Digital » Recursos » Hærdning af IoT-netværk og overholdelse af RED-direktivet

Eksplosionen af ​​IoT- og radioenheder i hjem, fabrikker, energi, sundhedsvæsen og transport har fuldstændig ændret den måde, vi forbinder os på ... og også den angrebsflade, der er tilgængelig for cyberkriminelle. Hver smart måler, hver wearable og hver industriel sensor er i praksis et potentielt indgangspunkt til netværket, hvis det ikke er designet med sikkerhed i tankerne fra starten.

I denne sammenhæng er styrkelsen af ​​IoT-netværk under radioudstyrsdirektivet (RED) og den kommende cyberrobusthedslov (CRA) blevet et kritisk problem for producenter, integratorer, operatører og enhver virksomhed, der sælger forbundne produkter i Den Europæiske Union. Det handler ikke kun om at "overholde papirarbejdet": de nye juridiske forpligtelser pålægger meget specifikke krav til cybersikkerhed, privatliv og beskyttelse mod svindel, der påvirker designet af hardware, firmware, software, tilslutningsmuligheder og cloud-tjenester.

Europæisk juridisk ramme: hvorfor RED og CRA ændrer alt

I løbet af det seneste årti er IoT blevet mere og mere udbredt takket være teknologier som Wi-Fi, Bluetooth og NFC, som har forvandlet utallige produkter til radioenheder, der er i stand til at kommunikere med hinanden og med skyen. Inden for cybersikkerhed betragtes disse enheder dog som et af de svageste punkter: mange smart home -løsninger mangler stadig minimal beskyttelse, og i industrielle og produktionsmæssige miljøer er der stadig enorme huller i både IT- og OT-sikkerhed.

De økonomiske konsekvenser af denne situation er brutale: De globale omkostninger ved cyberkriminalitet var omkring 5,5 billioner euro i 2020 ifølge EU-Rådet, og nylige undersøgelser som den fra Trend Micro viser, at næsten 90 % af de tyske energi-, olie- og gas- eller produktionsvirksomheder blev udsat for cyberangreb på bare 12 måneder med en gennemsnitlig skade på næsten 3 millioner euro pr. virksomhed.

I mellemtiden har fremkomsten af ​​wearables og datadrevne, AI-drevne forretningsmodeller yderligere understreget vigtigheden af ​​at beskytte personlige oplysninger. Forordninger som GDPR (forordning (EU) 2016/679) eller det tidligere R&TTE-direktiv 1999/5/EF har ikke dækket de typer trusler, som forbundne enheder i øjeblikket står over for, især med hensyn til avancerede cyberangreb, onlinesvindel og manipulation af tjenester.

Som reaktion herpå har Den Europæiske Union styrket radioudstyrsdirektivet (RED) 2014/53/EU , der har været gældende siden 2016, og som erstattede R&TTE. RED regulerede allerede elektromagnetisk kompatibilitet, elektrisk sikkerhed og effektiv udnyttelse af radiospektret; nu inkorporerer det også cybersikkerhedsforpligtelser på højt niveau, der påvirker det meste tilsluttede radioudstyr, herunder mange IoT-enheder.

Delegeret forordning (EU) 2022/30 og artikel 3(3)(d)-(f) i RED

Det virkelige vendepunkt kom med delegeret forordning (EU) 2022/30 , der blev vedtaget den 29. oktober 2021. Denne forordning "aktiverer" artikel 3(3)(d), (e) og (f) i NET, der definerer, hvilke kategorier af radioudstyr der skal overholde de nye krav til cybersikkerhed, privatlivets fred og beskyttelse mod svig.

Standarden fokuserer på flere særligt følsomme produktfamilier, herunder en stor del af forbruger- og professionelle IoT-økosystemer :

• Internetforbundet radioudstyrEnhver enhed, der kan kommunikere med netværket, direkte eller indirekte. Dette inkluderer smartphones, tablets, routere, IoT-enheder til hjemmet, tilsluttede industrielle sensorer osv.
• Radioudstyr til børnepasningProdukter, der udelukkende er designet til at overvåge eller hjælpe med plejen af ​​mindreårige, såsom forbundne babyalarmer.
• Radioudstyr omfattet af legetøjssikkerhedsdirektivet 2009/48/EFLegetøj med radiofunktioner, der er i stand til at optage, lagre eller dele information, interagere med brugere (især børn), eller som integrerer mikrofoner, højttalere eller sensorer.
• Bærbare radioenhederAlt, der er designet til at blive båret på eller over tøj, såsom smartwatches, aktivitetsmålere, headsets, hovedtelefoner eller smartbriller.

Det er vigtigt at bemærke, at visse kategorier er undtaget fra denne forordning , fordi de allerede har deres egen specifikke ramme: medicinsk udstyr (forordning (EU) 2017/745 og 2017/746), civil luftfartsudstyr, elektroniske bompengesystemer og andet udstyr, der er reguleret af forskellig sektorlovgivning og undtaget fra anvendelsesområdet for RED.

Oprindeligt skulle disse nye forpligtelser gælde fra 1. august 2024, men Europa-Kommissionen besluttede at udskyde datoen med et år for at give branchen tid. Den nye obligatoriske frist for overholdelse af delegeret forordning (EU) 2022/30 er 1. august 2025. Producenter, distributører og OEM'er, der integrerer radiomoduler, bør bruge denne tid til at justere design, sikre udviklingsprocesser og overensstemmelsesdokumentation.

Krav til cybersikkerhed, privatliv og anti-svindel i netværket

Artikel 3(3)(d), (e) og (f) i RED indeholder kernen i de nye sikkerhedskrav, der er udformet til at reducere risiciene forbundet med radioudstyrs konnektivitet, især IoT-enheder.

Artikel 3(3)(d) omhandler alt internetforbundet radioudstyr og kræver, at det er designet, så det ikke skader netværket eller dets funktioner, misbruger netværksressourcer eller forringer tjenesten på en uacceptabel måde . I praksis indebærer dette foranstaltninger, der skal forhindre en kompromitteret enhed i at lukke en tjeneste ned, iværksætte et DDoS-angreb eller forstyrre tilgængeligheden af ​​kritiske netværk.

Artikel 3(3)(e) fokuserer på beskyttelse af personoplysninger og brugeres og abonnenters privatliv. Den kræver, at radioudstyr, der behandler personoplysninger, skal omfatte sikkerhedsforanstaltninger for at forhindre uautoriseret adgang eller ukorrekt overførsel af oplysninger, f.eks. gennem robust adgangskontrol, kryptering af data under transit og i lagring samt principper for indbygget databeskyttelse og dataminimering.

Artikel 3(3)(f) indfører specifikke krav til enheder, der behandler virtuel valuta eller monetære værdier , dvs. enheder, der er involveret i digitale betalinger, elektroniske tegnebøger eller lignende operationer. Disse enheder skal omfatte forbedrede svindelkontroller, såsom stærke brugergodkendelsesmekanismer, transaktionsintegritetskontroller og detektion af mistænkelig aktivitet.

Desuden omhandler artikel 4 i RED et centralt punkt for IoT-økosystemet : kombinationen af ​​radioudstyr og software. Producenter skal give oplysninger om overensstemmelsen af ​​de påtænkte hardware- og softwarekombinationer og sikre, at produktet efter en softwareopdatering eller -ændring fortsat opfylder direktivets væsentlige krav.

Anvendelsesområde: hvad der betragtes som radioudstyr

For at forstå præcis, hvad disse forpligtelser omfatter, må vi vende tilbage til direktivets egen definition. I henhold til artikel 2(1) i RED defineres radioudstyr som ethvert elektrisk eller elektronisk produkt, der sender og/eller modtager radiobølger med henblik på radiokommunikation eller radionavigation, eller som kræver tilbehør (såsom en antenne) for at gøre det.

Denne definition er begrænset af undtagelserne i artikel 1(2), 1(3) og bilag I , som udelukker visse specifikt regulerede udstyr. Desuden tilføjer delegeret forordning 2022/30 betingelsen om, at enheden skal kunne oprette forbindelse til internettet, for at cybersikkerhedskravene i artikel 3(3)(d)-(f) kan finde anvendelse.

I praksis vil de fleste produkter med IoT-funktioner og trådløs forbindelse, der markedsføres i EU, falde under RED's radar: fra en tilsluttet termostat til en industriel controller med et mobilmodul, herunder wearables, hjemmeroutere, smarte højttalere eller smarte bygningsløsninger.

Harmoniserede standarder EN 18031: den tekniske køreplan

For at gøre det lettere for producenter at påvise overholdelse af reglerne, gav Europa-Kommissionen CEN og CENELEC til opgave at udvikle tekniske standarder, der omsætter lovkrav til konkrete kontroller og prøvninger. Dette arbejde resulterede i de harmoniserede standarder i EN 18031-serien.

Siden den 28. januar 2025 er tre EN 18031-standarder blevet harmoniseret under RED , hvilket giver en relativt klar vej til cybersikkerhedsvurdering:

• EN-18031 1definerer grundlæggende cybersikkerhedskrav til radioudstyr, herunder godkendelse, kryptering, administration af legitimationsoplysninger, sikre opstartsmekanismer og firmwareopdateringsprocesser.
• EN-18031 2Det fokuserer på privatlivsbeskyttelse for teams, der håndterer personlige data eller lokationsdata, med foranstaltninger til dataminimering, brugerkontrol og beskyttelse mod lækager.
• EN-18031 3Det omhandler sikkerheden af ​​enheder, der er involveret i digitale betalinger og virtuelle penge, og styrker transaktionsintegriteten og beskyttelsen mod svindel.

Alligevel er det ikke nok blot at "sætte kryds i feltet" for at overholde standarden . Nogle klausuler i disse standarder har begrænsninger og dækker ikke alle scenarier. For eksempel kan produkter, der tillader drift uden obligatorisk adgangskode, mangler tilstrækkelig forældrekontrol eller tilbyder valgfrie sikkerhedsindstillinger, kræve yderligere foranstaltninger eller en mere grundig evaluering.

I sådanne tilfælde anbefales det at inddrage et bemyndiget organ . Disse organer, udpeget af medlemsstaterne, er ansvarlige for at udføre overensstemmelsesvurderinger, når en uafhængig tredjepart er påkrævet. Kommissionen fører en officiel liste over bemyndigede organer, og samarbejde med et af dem bidrager til at sikre, at produktet opfylder alle de specifikke krav, selv når direkte anvendelse af harmoniserede standarder er utilstrækkelig.

RED og Cyber ​​Resilience Act: overlapninger og tidslinje

Cyber ​​Resilience Act (CRA) tilføjer endnu et regulatorisk lag til det europæiske cybersikkerhedsøkosystem. Dens anvendelsesområde er endnu bredere end RED Acts, da den gælder for stort set alle "produkter med digitale elementer": chips, software, enheder, applikationer osv., der dækker hele livscyklussen, fra design til opdateringer og sårbarhedshåndtering.

CRA fastsætter grundlæggende krav såsom forpligtelsen til at levere sikkerhedsopdateringer i flere år (udkast nævnte fem år som reference), samt specifikke forpligtelser til sårbarhedsstyring, ansvarlig offentliggørelse, brugerinformation og hændelsesrapportering. Produkter er grupperet i kategorier med forskellige overholdelsesordninger: selvvurdering for ikke-kritiske produkter, tredjepartsvurdering eller anvendelse af standarder for kritisk klasse I og vurdering foretaget af et nationalt organ for kritisk klasse II.

Indtil videre har CRA allerede nået til politisk enighed i de europæiske institutioner , selvom de vigtigste krav først vil blive anvendt cirka tre år efter dens ikrafttræden. Forpligtelserne til at rapportere sårbarheder og cyberhændelser kan dog træde i kraft før udgangen af ​​2025, hvilket vil tvinge mange virksomheder til at styrke deres processer for håndtering af hændelser.

Der er en klar overlapning mellem RED og CRA: det meste radioudstyr er også produkter med digitale komponenter . Derudover inkorporerer CRA de samme cybersikkerhedsmål som artikel 3(3)(d)-(f) i RED. Det centrale punkt er dog tidslinjen: Forpligtelserne i henhold til RED og den delegerede forordning træder i kraft den 1. august 2025, mens størstedelen af ​​CRA træder i kraft noget senere.

I praksis betyder det, at en producent af tilsluttede termostater, der lancerer et produkt i september 2025, skal foretage en selvvurdering i forhold til mindst RED-kravene (eller benytte sig af et bemyndiget organ). Senere, når CRA er fuldt ud gældende, skal de muligvis udføre en anden vurdering under denne ramme, selvom der forventes en vis konvergens: RED-kravene kan i sidste ende blive en delmængde af CRA-kravene, hvilket letter genbrug af bevismateriale og dokumentation.

Teknisk hærdning af IoT-netværk og -enheder

Ud over overholdelse af lovgivningen kræver det en omfattende systemtilgang at sikre et IoT-netværk . Det er ikke tilstrækkeligt kun at sikre enheden eller skyen: hardware, firmware, tilslutningsmuligheder, API'er, backend og drift skal alle tages i betragtning.

Vigtige tekniske forsvar omfatter praksisser, der allerede er i overensstemmelse med kravene i EN 18031, ETSI EN 303 645 eller NIST 8259:

• Sikker opstart og firmwarevalideringForhindrer udførelse af uautoriseret kode ved enhedsopstart, verificerer kryptografiske signaturer og sikrer firmwareintegritet.
• Hærdning af grænsefladerDeaktiver unødvendige porte og tjenester, segmenter netværk, og beskyt administrationsgrænseflader med stærk godkendelse og, hvor det er muligt, begrænset adgang.
• KommunikationskrypteringAnvend moderne protokoller som TLS 1.2+ eller 1.3 til al datatrafik, herunder telemetri, kontrolkommandoer og administrationskanaler.
• Robust administration af legitimationsoplysningerFjern standardlegitimationsoplysninger, gennemtving ændringen ved første brug, håndhæv stærke adgangskodepolitikker og inkorporer, hvor det er relevant, mekanismer til multifaktor-godkendelse.
• Automatiske og sikre opdateringerEtabler OTA (Over-the-Air) opdateringsprocesser med kryptografisk verifikation, krypterede kanaler og rollback-funktion i tilfælde af fejl.
• API-sikkerhedautentificer og autoriser alle tredjepartsopkald, begræns tilladelser ved hjælp af principperne om færrest rettigheder og revider adgang til nøgleressourcer.
• Adfærdsovervågning og -analyseAnvend løsninger til anomalidetektering, ofte drevet af AI, til at identificere usædvanlig enhedsadfærd, trafikoverløb eller typiske malwaremønstre.
• Sikkerhed i forsyningskædenverificere oprindelsen af ​​hardware- og softwarekomponenter, udføre firmwareanalyse og kræve sikkerhedsgarantier fra leverandører.

Parallelt hermed skal privatlivets fred integreres . Dette indebærer ikke blot kryptering af data, men også minimering af indsamlede oplysninger, klare brugerindstillinger, undgåelse af unødvendig sporing og overensstemmelse med GDPR-principperne, både by design og by default.

Praktisk overholdelse af RED: nøgleprocesser og aktører

For producenter er overholdelse af RED og delegeret forordning 2022/30 ikke kun et teknisk spørgsmål , men også et spørgsmål om processer og styring. Det er tilrådeligt at have et klart kort over alle berørte produkter, deres arkitektur, de data, de håndterer, og de betalings- eller monetariseringsfunktioner, der kan udløse kravene i artikel 3(3)(f).

I mange tilfælde kan selvevaluering udføres , forudsat at produktet er designet i overensstemmelse med harmoniserede standarder, og der vedligeholdes robust teknisk dokumentation. I komplekse scenarier, eller når standarden ikke fuldt ud dækker anvendelsesscenariet, giver brugen af ​​et bemyndiget organ dog juridisk og teknisk sikkerhed.

Mens branchen afventer modningen af ​​harmoniserede standarder og vurderingsordninger for kreditvurderingsbureauer (CRA), er der opstået initiativer som PSA Certified , der tilbyder certificeringsrammer, der er i overensstemmelse med nye regler (RED, CRA og Storbritanniens PSTI). PSA Certified Level 1 inkluderer for eksempel en dedikeret regulatorisk sektion, hvor producenter kan dokumentere deres overholdelse af lovgivningsmæssige krav og indsende denne dokumentation til uafhængig gennemgang.

Disse typer ordninger, der er i overensstemmelse med globale bedste praksisser som EN 303 645 og NIST 8259 , giver OEM'er, softwareudbydere og chipproducenter mulighed for at være på forkant med fremtiden og fra nu af integrere de kontroller, der kræves af både RED og CRA samt andre nationale rammer.

IoT-platforme, opdateringer og flådestyring

Et andet vigtigt aspekt ved at styrke IoT-netværk er muligheden for centralt at administrere store flåder af enheder . Uden en robust administrationsplatform bliver det næsten umuligt at anvende patches, rotere certifikater eller detektere mistænkelig adfærd i stor skala.

Inden for dette område bliver omfattende IoT-løsninger, der kombinerer dataorkestrering, enhedsstyring, OTA-opdateringer (over-the-air) og AI-funktioner til beslutningstagning, stadig vigtigere. Funktioner som gensidig SSL-godkendelse, periodisk certifikatrotation og sikre firmwareopdateringer styrker både endpoint og netværk.

Nogle platforme integrerer også IoT-specifikke cybersikkerhedsværktøjer, herunder runtime-sikkerhed og kontinuerlig sårbarhedsanalyse . Dette gør det nemmere at registrere adfærdsmæssige afvigelser i implementerede enheder, opdage sårbarheder både før og efter produktionsimplementering og prioritere afbødende handlinger.

Parallelt fungerer disse platforme som fundament for tjenestebaserede forretningsmodeller : datamonetisering, abonnementsmodeller, avancerede AI/ML-baserede tjenester osv. Den indsats, der investeres i RED-compliance og forbedret sikkerhed, reducerer således ikke kun risikoen, men åbner også døren for nye indtægtsstrømme og værdiskabende tilbud.

Hele denne tilgang, når den er gennemtænkt, demonstrerer en klar forpligtelse til sikkerhed og regulering fra producenter og teknologiudbyderes side, noget der i stigende grad værdsættes af både slutkunder og tilsynsmyndigheder.

Virksomheder, der tilbyder test-, certificerings- og overensstemmelsesvurderingstjenester, spiller også en betydelig rolle og tilbyder tekniske revisioner, laboratorietest og endda specialiseret træning i RED, CRA og andre regler. Udnyttelse af deres ekspertise kan i høj grad fremskynde læringskurven for organisationer, der står over for denne lovgivningsmæssige ramme for første gang.

Kort sagt kræver en styrkelse af IoT-netværk inden for rammerne af RED og den fremtidige CRA en gentænkning af designet af forbundne produkter, styrkelse af sikre udviklings-, overvågnings- og opdateringsprocesser samt en grundig forståelse af, hvordan hver enhed passer ind i labyrinten af ​​europæiske regler. De, der tager denne udfordring op hurtigere, vil være bedre positioneret til at reducere risici, undgå sanktioner og samtidig gribe muligheden for at differentiere sig gennem sikkerhed, tillid og kvalitet i et stadigt mere krævende IoT-marked.