IoT-verkon vahvistaminen ja RED-direktiivin noudattaminen

Informatec Digital » Resurssit » IoT-verkon vahvistaminen ja RED-direktiivin noudattaminen

IoT- ja radiolaitteiden räjähdysmäinen kasvu kodeissa, tehtaissa, energia-alalla, terveydenhuollossa ja liikenteessä on muuttanut täysin tapaamme olla yhteydessä toisiinsa... ja myös kyberrikollisille tarjolla olevan hyökkäyspinnan. Jokainen älymittari, jokainen puettava laite ja jokainen teollisuusanturi on käytännössä mahdollinen pääsy verkkoon, jos sitä ei ole suunniteltu alusta alkaen turvallisuus mielessä.

Tässä yhteydessä radiolaitedirektiivin (RED) ja tulevan kyberturvallisuuslain (CRA) mukainen IoT-verkkojen vahvistaminen on tullut kriittiseksi kysymykseksi valmistajille, integraattoreille, operaattoreille ja kaikille verkottuneita tuotteita Euroopan unionissa myyville yrityksille. Kyse ei ole pelkästään "paperityön noudattamisesta": uudet lakisääteiset velvoitteet asettavat erittäin erityisiä kyberturvallisuus-, yksityisyys- ja petostentorjuntavaatimuksia, jotka vaikuttavat laitteiston, laiteohjelmiston, ohjelmistojen, liitettävyyden ja pilvipalveluiden suunnitteluun.

Eurooppalainen lainsäädäntökehys: miksi RED ja CRA muuttavat kaiken

Viimeisen vuosikymmenen aikana IoT on laajentunut Wi-Fin, Bluetoothin ja NFC:n kaltaisten teknologioiden ansiosta, jotka ovat muuttaneet lukemattomia tuotteita radiolaitteiksi, jotka pystyvät kommunikoimaan keskenään ja pilven kanssa. Kyberturvallisuuden näkökulmasta näitä laitteita pidetään kuitenkin yhtenä heikoimmista kohdista: monilta älykotiratkaisuilta puuttuu edelleen minimaalinenkin suojaus, ja teollisuus- ja valmistusympäristöissä on edelleen valtavia aukkoja sekä IT- että OT-tietoturvassa.

Tilanteen taloudelliset vaikutukset ovat raa'at: EU:n neuvoston mukaan kyberrikollisuuden maailmanlaajuiset kustannukset olivat noin 5,5 biljoonaa euroa vuonna 2020 , ja viimeaikaiset tutkimukset, kuten Trend Micron tutkimus, osoittavat, että lähes 90 prosenttia saksalaisista energia-, öljy- ja kaasu- tai teollisuusyrityksistä kärsi kyberhyökkäyksistä vain 12 kuukauden aikana, ja keskimääräiset vahingot olivat lähes 3 miljoonaa euroa yritystä kohden.

Samaan aikaan puettavien laitteiden ja datalähtöisten, tekoälyyn perustuvien liiketoimintamallien nousu on entisestään korostanut henkilötietojen suojaamisen merkitystä. Säädökset, kuten GDPR (asetus (EU) 2016/679) tai entinen R&TTE-direktiivi 1999/5/EY, eivät ole kattaneet riittävästi verkkoon kytkettyihin laitteisiin tällä hetkellä kohdistuvia uhkia, erityisesti edistyneiden kyberhyökkäysten, verkkopetosten ja palvelujen manipuloinnin osalta.

Vastauksena tähän Euroopan unioni on vahvistanut vuodesta 2016 voimassa ollutta radiolaitedirektiiviä (RED) 2014/53/EU , joka korvasi R&TTE-direktiivin. RED-direktiivi säänteli jo aiemmin sähkömagneettista yhteensopivuutta, sähköturvallisuutta ja radiospektrin tehokasta käyttöä; nyt se sisältää myös korkean tason kyberturvallisuusvelvoitteet, jotka vaikuttavat useimpiin verkottuneisiin radiolaitteisiin, mukaan lukien monet IoT-laitteet.

Delegoitu asetus (EU) 2022/30 ja radiolaitedirektiivin 3 artiklan 3 kohdan d–f alakohdat

Todellinen käännekohta tuli 29. lokakuuta 2021 hyväksytyn delegoidun asetuksen (EU) 2022/30 myötä. Tämä asetus "aktivoi" NET-asetuksen 3(3)(d), (e) ja (f) artiklan, joissa määritellään, minkä radiolaiteluokkien on täytettävä uudet kyberturvallisuutta, yksityisyyttä ja petosten torjuntaa koskevat vaatimukset.

Standardi keskittyy useisiin erityisen arkaluontoisiin tuoteperheisiin, mukaan lukien suuri osa kuluttajien ja ammattilaisten IoT-ekosysteemistä :

• Internetiin yhdistetyt radiolaitteetMikä tahansa laite, joka voi kommunikoida verkon kanssa suoraan tai epäsuorasti. Tähän sisältyvät älypuhelimet, tabletit, reitittimet, kodin IoT-laitteet, verkotetut teollisuusanturit jne.
• Radiolaitteet lastenhoitoon: tuotteet, jotka on suunniteltu yksinomaan alaikäisten valvontaan tai hoitoon, kuten verkkoon kytketyt vauvamonitorit.
• Leluturvallisuusdirektiivin 2009/48/EY soveltamisalaan kuuluvat radiolaitteetLelut, joissa on radiotoimintoja, jotka pystyvät tallentamaan, säilyttämään tai jakamaan tietoa, olemaan vuorovaikutuksessa käyttäjien (erityisesti lasten) kanssa tai joissa on mikrofoneja, kaiuttimia tai antureita.
• Puettavat radiolaitteet: kaikki vaatteiden päällä tai päällä pidettäväksi suunniteltu, kuten älykellot, aktiivisuusrannekkeet, kuulokkeet, kuulokkeet tai älylasit.

On tärkeää huomata, että tietyt luokat on jätetty tämän asetuksen ulkopuolelle , koska niillä on jo omat erityiskehyksensä: lääkinnälliset laitteet (asetukset (EU) 2017/745 ja 2017/746), siviili-ilmailun laitteet, sähköiset tiemaksujärjestelmät ja muut laitteet, joita säännellään eri alakohtaisella lainsäädännöllä ja jotka on jätetty radiolaitedirektiivin soveltamisalan ulkopuolelle.

Alun perin näiden uusien velvoitteiden oli tarkoitus tulla voimaan 1. elokuuta 2024, mutta Euroopan komissio päätti lykätä päivämäärää vuodella antaakseen alalle aikaa. Uusi pakollinen määräaika delegoidun asetuksen (EU) 2022/30 noudattamiselle on 1. elokuuta 2025. Radiomoduuleja integroivien valmistajien, jakelijoiden ja laitevalmistajien tulisi käyttää tämä aika suunnittelun mukauttamiseen, kehitysprosessien turvaamiseen ja vaatimustenmukaisuusdokumentaatioon.

Verkon kyberturvallisuus-, yksityisyys- ja petostentorjuntavaatimukset

Radiolaitedirektiivin 3(3) artiklan d, e ja f alakohdat sisältävät ydinosa uusista turvallisuusvaatimuksista, joiden tarkoituksena on vähentää radiolaitteiden, erityisesti IoT-laitteiden, liitettävyyteen liittyviä riskejä.

Artiklan 3(3)(d) kohta koskee kaikkia internetiin yhdistettyjä radiolaitteita ja edellyttää, että ne suunnitellaan siten, etteivät ne vahingoita verkkoa tai sen toimintoja, käytä väärin verkkoresursseja tai heikennä palvelua kohtuuttomasti . Käytännössä tämä tarkoittaa toimenpiteitä, joilla estetään vaarantunutta laitetta katkaisemasta palvelua, käynnistämästä palvelunestohyökkäystä tai häiritsemästä kriittisten verkkojen saatavuutta.

Artiklan 3(3)(e) keskittyy henkilötietojen ja käyttäjien ja tilaajien yksityisyyden suojaan . Siinä edellytetään, että henkilötietoja käsittelevissä radiolaitteissa on suojatoimia luvattoman pääsyn tai tietojen virheellisen siirron estämiseksi, esimerkiksi vankan pääsynvalvonnan, siirrettävien ja säilytettävien tietojen salaamisen sekä sisäänrakennetun yksityisyyden suojan ja tietojen minimoinnin periaatteiden avulla.

Artiklan 3(3)(f) mukaan laitteille, jotka käsittelevät virtuaalivaluuttaa tai raha-arvoja eli digitaalisiin maksuihin, sähköisiin lompakoihin tai vastaaviin toimintoihin liittyviä laitteita, on oltava erityisvaatimuksia . Näissä laitteissa on oltava tehostetut petostentorjuntamenetelmät, kuten vahvat käyttäjän todennusmekanismit, tapahtumien eheystarkastukset ja epäilyttävän toiminnan havaitseminen.

Lisäksi radiolaitedirektiivin 4 artikla käsittelee esineiden internetin ekosysteemin kannalta keskeistä seikkaa : radiolaitteiden ja ohjelmistojen yhdistämistä. Valmistajien on annettava tietoja suunniteltujen laitteisto- ja ohjelmistoyhdistelmien vaatimustenmukaisuudesta varmistaakseen, että tuote täyttää edelleen direktiivin olennaiset vaatimukset ohjelmistopäivityksen tai -muutoksen jälkeen.

Soveltamisala: mitä pidetään radiolaitteena

Ymmärtääksemme tarkalleen, mitä näihin velvoitteisiin sisältyy, meidän on palattava direktiivin omaan määritelmään. Radiolaitedirektiivin artiklan 2(1) mukaan radiolaitteella tarkoitetaan mitä tahansa sähkö- tai elektroniikkalaitetta, joka lähettää ja/tai vastaanottaa radioaaltoja radioviestintää tai radionavigointia varten tai joka vaatii tähän lisävarusteita (kuten antennin).

Tätä määritelmää rajoittavat 1 artiklan 2 ja 3 kohdan sekä liitteen I poikkeukset , jotka sulkevat pois tietyt erityisesti säännellyt laitteet. Lisäksi delegoitu asetus 2022/30 lisää ehdon, jonka mukaan laitteen on kyettävä muodostamaan yhteys internetiin, jotta 3 artiklan 3 kohdan d–f alakohdan kyberturvallisuusvaatimuksia voidaan soveltaa.

Käytännössä useimmat EU:ssa markkinoitavat IoT-ominaisuuksilla ja langattomalla yhteydellä varustetut tuotteet tulevat RED-direktiivin tutkan alle: verkottuneesta termostaatista matkapuhelinmoduulilla varustettuun teollisuusohjaimeen, mukaan lukien puettavat laitteet, kotireitittimet, älykaiuttimet tai älykkäät rakennusratkaisut.

Yhdenmukaistetut standardit EN 18031: tekninen tiekartta

Jotta valmistajien olisi helpompi osoittaa vaatimustenmukaisuus, Euroopan komissio antoi CENille ja CENELECille tehtäväksi kehittää teknisiä standardeja, jotka muuttavat lakisääteiset vaatimukset konkreettisiksi tarkastuksiksi ja testeiksi. Tämän työn tuloksena syntyivät EN 18031 -sarjan yhdenmukaistetut standardit.

28. tammikuuta 2025 lähtien kolme EN 18031 -standardia on yhdenmukaistettu RED-direktiivin mukaisesti , mikä tarjoaa suhteellisen selkeän polun kyberturvallisuuden arvioinnille:

• EN-18031 1: määrittelee radiolaitteiden kyberturvallisuuden perusvaatimukset, mukaan lukien todennus, salaus, tunnistetietojen hallinta, suojatut käynnistysmekanismit ja laiteohjelmistopäivitysprosessit.
• EN-18031 2Se keskittyy henkilö- tai sijaintitietoja käsittelevien tiimien yksityisyyden suojaan ja sisältää toimenpiteitä tietojen minimoimiseksi, käyttäjien hallinnan parantamiseksi ja vuotojen estämiseksi.
• EN-18031 3Se käsittelee digitaalisiin maksuihin ja virtuaalirahaan liittyvien laitteiden turvallisuutta vahvistaen maksutapahtumien eheyttä ja suojaa petoksilta.

Silti pelkkä "ruudun rastittaminen" standardin noudattamiseksi ei riitä . Joissakin näiden standardien lausekkeissa on rajoituksia, eivätkä ne kata kaikkia tilanteita. Esimerkiksi tuotteet, jotka mahdollistavat käytön ilman pakollista salasanaa, joista puuttuvat riittävät lapsilukot tai jotka tarjoavat valinnaisia ​​suojausasetuksia, saattavat vaatia lisätoimenpiteitä tai perusteellisemman arvioinnin.

Tällaisissa tapauksissa suositellaan ilmoitetun laitoksen osallistumista . Nämä jäsenvaltioiden nimeämät laitokset ovat vastuussa vaatimustenmukaisuuden arvioinneista, kun vaaditaan riippumatonta kolmatta osapuolta. Komissio ylläpitää virallista luetteloa ilmoitetuista laitoksista, ja yhteistyö yhden niistä kanssa auttaa varmistamaan, että tuote täyttää kaikki erityisvaatimukset, vaikka yhdenmukaistettujen standardien suora soveltaminen ei riittäisi.

RED ja kyberturvallisuuslaki: päällekkäisyydet ja aikataulu

Kyberturvallisuuslaki (CRA) lisää uuden sääntelykerroksen eurooppalaiseen kyberturvallisuusekosysteemiin. Sen soveltamisala on jopa laajempi kuin RED-lain, sillä se koskee käytännössä kaikkia ”digitaalisia elementtejä sisältäviä tuotteita”: siruja, ohjelmistoja, laitteita, sovelluksia jne., ja se kattaa koko elinkaaren suunnittelusta päivityksiin ja haavoittuvuuksien hallintaan.

CRA asettaa perusvaatimukset, kuten velvoitteen tarjota tietoturvapäivityksiä useiden vuosien ajan (luonnoksissa mainittiin viisi vuotta viitteenä), sekä erityisiä velvoitteita haavoittuvuuksien hallinnalle, vastuulliselle tiedonannolle, käyttäjätiedoille ja tapausten raportoinnille. Tuotteet on ryhmitelty luokkiin, joilla on erilaiset vaatimustenmukaisuusjärjestelmät: itsearviointi ei-kriittisille tuotteille, kolmannen osapuolen arviointi tai standardien soveltaminen kriittiselle luokalle I ja kansallisen elimen arviointi kriittiselle luokalle II.

Tähän mennessä CRA on jo saavuttanut poliittisen sopimuksen eurooppalaisten toimielinten kanssa , vaikka sen päävaatimuksia ei sovelleta ennen kuin noin kolme vuotta sen voimaantulon jälkeen. Haavoittuvuuksien ja kyberturvallisuuspoikkeamien raportointivelvoitteet saattavat kuitenkin tulla voimaan jo ennen vuoden 2025 loppua, mikä pakottaa monet yritykset vahvistamaan tietoturvaloukkauksiin reagointiprosessejaan.

RED-direktiivin ja CRA:n välillä on selkeä päällekkäisyys: useimmat radiolaitteet ovat myös digitaalisia komponentteja sisältäviä tuotteita . Lisäksi CRA sisältää samat kyberturvallisuustavoitteet kuin RED-direktiivin 3(3)(d)-(f) artikla. Keskeistä on kuitenkin aikataulu: RED-direktiivin ja sen delegoidun asetuksen mukaiset velvoitteet tulevat voimaan 1. elokuuta 2025, kun taas suurin osa CRA:sta tulee voimaan jonkin verran myöhemmin.

Käytännössä tämä tarkoittaa, että älykkäiden termostaattien valmistajan, joka lanseeraa tuotteen syyskuussa 2025, on tehtävä itsearviointi ainakin RED-direktiivin vaatimusten mukaisesti (tai turvauduttava ilmoitettuun laitokseen). Myöhemmin, kun CRA on täysin sovellettavissa, heidän on ehkä tehtävä toinen arviointi kyseisen kehyksen mukaisesti, vaikka jonkin verran lähentymistä odotetaan: RED-direktiivin vaatimuksista voi lopulta tulla osa CRA-vaatimuksia, mikä helpottaa näytön ja dokumentaation uudelleenkäyttöä.

IoT-verkkojen ja -laitteiden tekninen vahvistaminen

Sääntelyvaatimusten noudattamisen lisäksi IoT-verkon vahvistaminen vaatii kokonaisvaltaista järjestelmälähestymistapaa . Pelkän laitteen tai pelkän pilven suojaaminen ei riitä: laitteisto, laiteohjelmisto, liitettävyys, API-rajapinnat, taustajärjestelmä ja toiminnot on kaikki otettava huomioon.

Keskeisiin teknisiin puolustuskeinoihin kuuluvat käytännöt, jotka on jo yhdenmukaistettu standardien EN 18031, ETSI EN 303 645 tai NIST 8259 vaatimusten kanssa:

• Suojattu käynnistys ja laiteohjelmiston validointi: estää luvattoman koodin suorittamisen laitteen käynnistyksen yhteydessä, tarkistaa kryptografiset allekirjoitukset ja varmistaa laiteohjelmiston eheyden.
• Rajapintojen kovettuminenPoista tarpeettomat portit ja palvelut käytöstä, segmentoi verkot ja suojaa hallintaliittymät vahvalla todennuksella ja mahdollisuuksien mukaan rajoitetulla pääsyllä.
• Viestinnän salausKäytä kaikessa tietoliikenteessä, mukaan lukien telemetria, ohjauskomennot ja hallintakanavat, nykyaikaisia ​​protokollia, kuten TLS 1.2+ tai 1.3.
• Vankka tunnistetietojen hallintapoista oletusarvoiset tunnistetiedot, pakota muutos ensimmäisellä käyttökerralla, ota käyttöön vahvat salasanakäytännöt ja sisällytä tarvittaessa monivaiheiset todennusmekanismit.
• Automaattiset ja turvalliset päivitykset: Luo OTA (Over-the-Air) -päivitysprosesseja, joissa on kryptografinen varmennus, salatut kanavat ja palautusmahdollisuus vikatilanteessa.
• API-tietoturva: todenna ja valtuuta kaikki kolmannen osapuolen puhelut, rajoita käyttöoikeuksia käyttämällä vähiten käyttöoikeuksia ja tarkasta tärkeiden resurssien käyttöoikeudet.
• Käyttäytymisen seuranta ja analytiikkaKäytä poikkeavuuksien havaitsemisratkaisuja, usein tekoälyn pohjalta, tunnistaaksesi epätavallisia laitekäyttäytymisiä, liikenteen ylivuotoja tai tyypillisiä haittaohjelmamalleja.
• Toimitusketjun turvallisuus: tarkista laitteisto- ja ohjelmistokomponenttien alkuperä, suorita laiteohjelmistoanalyysi ja vaadi toimittajilta tietoturvatakuita.

Samanaikaisesti yksityisyyden on oltava natiivisti integroitu . Tämä tarkoittaa paitsi tietojen salaamista myös kerättyjen tietojen minimointia, selkeiden käyttäjäasetusten tarjoamista, tarpeettoman seurannan välttämistä ja tietojenkäsittelyn yhdenmukaistamista GDPR-periaatteiden kanssa sekä sisäänrakennetulla että oletusarvoisella tavalla.

RED-direktiivin käytännön noudattaminen: keskeiset prosessit ja toimijat

Valmistajille radiolaitedirektiivin ja delegoidun asetuksen 2022/30 noudattaminen ei ole pelkästään tekninen kysymys , vaan myös prosessi- ja hallintokysymys. On suositeltavaa, että kaikilla tuotteilla, joihin ne vaikuttavat, on selkeä kartta, jossa on tietoa niiden arkkitehtuurista, käsittelemistä tiedoista sekä maksu- tai rahaksi muuttamistoiminnoista, jotka voivat laukaista 3 artiklan 3(3)(f) kohdan vaatimukset.

Monissa tapauksissa itsearviointi voidaan suorittaa , edellyttäen, että tuote on suunniteltu yhdenmukaistettujen standardien mukaisesti ja että siitä ylläpidetään kattavaa teknistä dokumentaatiota. Monimutkaisissa tilanteissa tai silloin, kun standardi ei kata käyttötapausta kokonaan, ilmoitetun laitoksen käyttö tarjoaa oikeudellista ja teknistä varmuutta.

Alan odottaessa yhdenmukaistettujen standardien ja CRA-arviointijärjestelmien kypsymistä on syntynyt aloitteita, kuten PSA Certified , jotka tarjoavat uusien säännösten (RED, CRA ja Ison-Britannian PSTI) kanssa yhdenmukaisia ​​sertifiointikehyksiä. Esimerkiksi PSA Certified Level 1 sisältää erillisen sääntelyosion, jossa valmistajat voivat dokumentoida sääntelyvaatimusten noudattamisensa ja toimittaa kyseiset asiakirjat riippumatonta tarkastusta varten.

Tällaiset järjestelmät, jotka ovat linjassa maailmanlaajuisten parhaiden käytäntöjen, kuten EN 303 645 ja NIST 8259, kanssa , antavat laitevalmistajille, ohjelmistotoimittajille ja siruvalmistajille mahdollisuuden olla tulevaisuuden edellä integroimalla tästä lähtien sekä RED- että CRA-direktiivin ja muiden kansallisten kehysten edellyttämät valvontatoimet.

IoT-alustat, päivitykset ja kalustonhallinta

Toinen keskeinen näkökohta IoT-verkkojen vahvistamisessa on kyky hallita keskitetysti suuria laitekokonaisuuksia . Ilman vankkaa hallinta-alustaa korjauspäivitysten asentaminen, varmenteiden kierrättäminen tai epäilyttävän toiminnan havaitseminen on lähes mahdotonta laajamittaisessa käytössä.

Tällä alueella yhä tärkeämmiksi tulevat kattavat IoT-ratkaisut, jotka yhdistävät datan orkestroinnin, laitehallinnan, langattomat (OTA) päivitykset ja tekoälyominaisuudet päätöksenteossa. Ominaisuudet, kuten keskinäinen SSL-todennus, säännöllinen varmenteiden kierrätys ja turvalliset laiteohjelmistopäivitykset, vahvistavat sekä päätepistettä että verkkoa.

Jotkin alustat integroivat myös IoT-kohtaisia ​​kyberturvallisuustyökaluja, mukaan lukien ajonaikaisen tietoturvan ja jatkuvan haavoittuvuusanalyysin . Tämä helpottaa toimintahäiriöiden havaitsemista käyttöönotetuissa laitteissa, haavoittuvuuksien löytämistä sekä ennen tuotantokäyttöönottoa että sen jälkeen ja lieventävien toimenpiteiden priorisointia.

Samanaikaisesti nämä alustat toimivat perustana palvelullistamiseen perustuville liiketoimintamalleille : datan monetisoinnille, tilausmalleille, edistyneille tekoäly-/koneoppimispohjaisille palveluille jne. Näin ollen RED-vaatimustenmukaisuuteen ja parannettuun tietoturvaan panostaminen ei ainoastaan ​​vähennä riskiä, ​​vaan myös avaa oven uusille tulonvirroille ja lisäarvoa tuottaville tarjouksille.

Tämä koko lähestymistapa, kun se on suunniteltu huolellisesti, osoittaa valmistajien ja teknologiatoimittajien selkeää sitoutumista turvallisuuteen ja sääntelyyn , mitä sekä loppukäyttäjät että sääntelyviranomaiset arvostavat yhä enemmän.

Myös testaus-, sertifiointi- ja vaatimustenmukaisuuden arviointipalveluita tarjoavilla yrityksillä on merkittävä rooli, sillä ne tarjoavat teknisiä auditointeja, laboratoriotestejä ja jopa erikoiskoulutusta RED-, CRA- ja muista säännöksistä. Niiden asiantuntemuksen hyödyntäminen voi huomattavasti nopeuttaa oppimiskäyrää organisaatioille, jotka kohtaavat tämän sääntelykehyksen ensimmäistä kertaa.

Lyhyesti sanottuna IoT-verkkojen vahvistaminen RED-direktiivin ja tulevan CRA:n puitteissa edellyttää verkkoon kytkettyjen tuotteiden suunnittelun uudelleenarviointia, turvallisten kehitys-, valvonta- ja päivitysprosessien vahvistamista sekä perusteellista ymmärrystä siitä, miten kukin laite sopii eurooppalaisten säännösten labyrinttiin. Ne, jotka tarttuvat tähän haasteeseen aikaisemmin, ovat paremmassa asemassa vähentämään riskejä, välttämään seuraamuksia ja samalla tarttumaan tilaisuuteen erottautua turvallisuuden, luottamuksen ja laadun avulla yhä vaativammilla IoT-markkinoilla.