Jačanje IoT mreže i usklađenost s RED direktivom

Informatec Digital » Sredstva » Jačanje IoT mreže i usklađenost s RED direktivom

Eksplozija IoT i radio uređaja u domovima, tvornicama, energetici, zdravstvu i prijevozu potpuno je promijenila način na koji se povezujemo... a također i površinu napada dostupnu kibernetičkim kriminalcima. Svako pametno brojilo, svaki nosivi uređaj i svaki industrijski senzor u praksi je potencijalna ulazna točka u mrežu ako nije od samog početka dizajniran imajući na umu sigurnost.

U tom kontekstu, jačanje IoT mreža prema Direktivi o radio opremi (RED) i nadolazećem Zakonu o kibernetičkoj otpornosti (CRA) postalo je ključno pitanje za proizvođače, integratore, operatere i svaku tvrtku koja prodaje povezane proizvode u Europskoj uniji. Ne radi se samo o "usklađenosti s papirologijom": nove zakonske obveze nameću vrlo specifične zahtjeve za kibernetičku sigurnost, privatnost i zaštitu od prijevara koji utječu na dizajn hardvera, firmvera, softvera, povezivosti i usluga u oblaku.

Europski pravni okvir: zašto RED i CRA mijenjaju sve

Tijekom proteklog desetljeća, IoT se proširio zahvaljujući tehnologijama poput Wi-Fi-ja, Bluetootha i NFC-a, koje su transformirale bezbrojne proizvode u radio uređaje sposobne za međusobnu komunikaciju i komunikaciju s oblakom. Međutim, u kibernetičkoj sigurnosti ovi se uređaji smatraju jednom od najslabijih točaka: mnogim rješenjima za pametne domove još uvijek nedostaje čak i minimalna zaštita, a u industrijskim i proizvodnim okruženjima još uvijek postoje ogromni nedostaci u IT i OT sigurnosti.

Ekonomski utjecaj ove situacije je brutalan: globalni trošak kibernetičkog kriminala iznosio je oko 5,5 bilijuna eura u 2020. godini prema Vijeću EU, a nedavne studije poput one tvrtke Trend Micro pokazuju da je gotovo 90% njemačkih energetskih, naftnih i plinskih ili proizvodnih tvrtki pretrpjelo kibernetičke napade u samo 12 mjeseci, s prosječnom štetom od gotovo 3 milijuna eura po tvrtki.

U međuvremenu, porast nosivih uređaja i poslovnih modela temeljenih na podacima i umjetnoj inteligenciji dodatno je istaknuo važnost zaštite osobnih podataka. Propisi poput GDPR-a (Uredba (EU) 2016/679) ili bivše R&TTE Direktive 1999/5/EZ nisu dovoljno obuhvatili vrste prijetnji s kojima se trenutno suočavaju povezani uređaji, posebno u pogledu naprednih kibernetičkih napada, online prijevara i manipulacije uslugama.

Kao odgovor na to, Europska unija je ojačala Direktivu o radio opremi (RED) 2014/53/EU , koja je na snazi ​​od 2016. godine i koja je zamijenila R&TTE. RED je već regulirao elektromagnetsku kompatibilnost, električnu sigurnost i učinkovito korištenje radio spektra; sada uključuje i obveze kibernetičke sigurnosti na visokoj razini koje utječu na većinu povezane radio opreme, uključujući mnoge IoT uređaje.

Delegirana uredba (EU) 2022/30 i članak 3(3)(d)-(f) RED-a

Prava prekretnica dogodila se s Delegiranom uredbom (EU) 2022/30 , usvojenom 29. listopada 2021. Ova uredba „aktivira“ članke 3(3)(d), (e) i (f) NET-a, definirajući koje kategorije radijske opreme moraju biti u skladu s novim zahtjevima za kibernetičku sigurnost, privatnost i zaštitu od prijevare.

Standard se fokusira na nekoliko posebno osjetljivih obitelji proizvoda, uključujući veliki dio potrošačkog i profesionalnog IoT ekosustava :

• Radio oprema povezana s internetomBilo koji uređaj koji može komunicirati s mrežom, izravno ili neizravno. To uključuje pametne telefone, tablete, usmjerivače, kućne IoT uređaje, povezane industrijske senzore itd.
• Radio oprema za brigu o djeci: proizvodi namijenjeni isključivo za nadzor ili pomoć u brizi za maloljetnike, kao što su povezani monitori za bebe.
• Radio oprema obuhvaćena Direktivom o sigurnosti igračaka 2009/48/EZIgračke s radijskim funkcijama koje mogu snimati, pohranjivati ​​ili dijeliti informacije, komunicirati s korisnicima (posebno djecom) ili koje imaju integrirane mikrofone, zvučnike ili senzore.
• Nosivi radio uređajisve što je dizajnirano za nošenje na ili preko odjeće, kao što su pametni satovi, uređaji za praćenje aktivnosti, slušalice s mikrofonom, slušalice s mikrofonom ili pametne naočale.

Važno je napomenuti da su određene kategorije isključene iz ove uredbe jer već imaju svoj vlastiti specifični okvir: medicinski proizvodi (Uredbe (EU) 2017/745 i 2017/746), oprema civilnog zrakoplovstva, elektronički sustavi naplate cestarine i drugi uređaji regulirani različitim sektorskim zakonodavstvom i isključeni iz područja primjene RED-a.

U početku su se ove nove obveze trebale primjenjivati ​​od 1. kolovoza 2024., ali Europska komisija odlučila je odgoditi datum za godinu dana kako bi industriji dala vremena. Novi obvezni rok za usklađivanje s Delegiranom uredbom (EU) 2022/30 je 1. kolovoza 2025. Proizvođači, distributeri i proizvođači originalne opreme (OEM) koji integriraju radio module trebali bi iskoristiti ovo vrijeme za prilagodbu dizajna, osiguranje razvojnih procesa i dokumentaciju o sukladnosti.

Zahtjevi za kibernetičku sigurnost, privatnost i borbu protiv prijevara u mreži

Članci 3(3)(d), (e) i (f) Direktive o radijskoj opremi sadrže srž novih sigurnosnih zahtjeva, osmišljenih za smanjenje rizika povezanih s povezivošću radio opreme, posebno IoT uređaja.

Članak 3(3)(d) odnosi se na svu radio opremu povezanu s internetom i zahtijeva da bude dizajnirana tako da ne oštećuje mrežu ili njezine funkcije, ne zloupotrebljava mrežne resurse ili neprihvatljivo ne narušava uslugu . U praksi to podrazumijeva mjere za sprječavanje kompromitiranog uređaja da ugasi uslugu, pokrene DDoS napad ili ometa dostupnost kritičnih mreža.

Članak 3(3)(e) usmjeren je na zaštitu osobnih podataka i privatnost korisnika i pretplatnika. Zahtijeva da radio oprema koja obrađuje osobne podatke uključuje zaštitne mjere za sprječavanje neovlaštenog pristupa ili nepravilnog prijenosa informacija, na primjer putem robusnih kontrola pristupa, šifriranja podataka u prijenosu i u mirovanju te načela privatnosti već u dizajnu i minimiziranja podataka.

Članak 3(3)(f) uvodi posebne zahtjeve za uređaje koji obrađuju virtualnu valutu ili novčane vrijednosti , odnosno one koji su uključeni u digitalna plaćanja, elektroničke novčanike ili slične operacije. Ti uređaji moraju uključivati ​​poboljšane kontrole prijevara, kao što su snažni mehanizmi za autentifikaciju korisnika, provjere integriteta transakcija i otkrivanje sumnjivih aktivnosti.

Nadalje, članak 4. Direktive o radijskoj opremi (RED) odnosi se na ključnu točku za ekosustav interneta stvari (IoT) : kombinaciju radio opreme sa softverom. Proizvođači su dužni pružiti informacije o sukladnosti namjeravanih kombinacija hardvera i softvera, osiguravajući da proizvod, nakon ažuriranja ili izmjene softvera, i dalje ispunjava bitne zahtjeve direktive.

Područje primjene: što se smatra radioopremom

Kako bismo točno razumjeli što je uključeno u ove obveze, moramo se vratiti na samu definiciju direktive. Prema članku 2(1) Direktive o radiofrekvencijskoj opremi , radijska oprema definirana je kao bilo koji električni ili elektronički proizvod koji odašilje i/ili prima radiovalove u svrhu radiokomunikacije ili radionavigacije ili koji za to zahtijeva pribor (kao što je antena).

Ova definicija je kvalificirana izuzećima u članku 1(2), 1(3) i Prilogu I , koja isključuju određenu posebno reguliranu opremu. Nadalje, Delegirana uredba 2022/30 dodaje uvjet da uređaj mora biti sposoban spojiti se na internet kako bi se primijenili zahtjevi kibernetičke sigurnosti iz članka 3(3)(d)-(f).

U praksi će većina proizvoda s IoT mogućnostima i bežičnom povezivošću koji se prodaju u EU doći pod radar RED-a: od povezanog termostata do industrijskog kontrolera s celularnim modulom, uključujući nosive uređaje, kućne usmjerivače, pametne zvučnike ili rješenja za pametne zgrade.

Usklađene norme EN 18031: tehnički plan

Kako bi proizvođačima olakšala dokazivanje sukladnosti, Europska komisija je zadužila CEN i CENELEC da razviju tehničke standarde koji zakonske zahtjeve pretvaraju u konkretne kontrole i ispitivanja. Taj je rad rezultirao usklađenim standardima serije EN 18031.

Od 28. siječnja 2025. godine, tri standarda EN 18031 usklađena su u okviru RED-a , pružajući relativno jasan put za procjenu kibernetičke sigurnosti:

• EN-18031 1: definira osnovne zahtjeve kibernetičke sigurnosti za radio opremu, uključujući autentifikaciju, šifriranje, upravljanje vjerodajnicama, sigurne mehanizme pokretanja i procese ažuriranja firmvera.
• EN-18031 2Fokusira se na mjere zaštite privatnosti za timove koji obrađuju osobne ili lokacijske podatke, s mjerama za minimiziranje podataka, kontrolu korisnika i zaštitu od curenja.
• EN-18031 3Bavi se sigurnošću uređaja uključenih u digitalna plaćanja i virtualni novac, jačajući integritet transakcija i zaštitu od prijevare.

Unatoč tome, samo "označavanje okvira" za usklađenost sa standardom nije dovoljno . Neke klauzule u tim standardima imaju ograničenja i ne pokrivaju sve scenarije. Na primjer, proizvodi koji omogućuju rad bez obvezne lozinke, nemaju odgovarajuće roditeljske kontrole ili nude opcionalne sigurnosne postavke mogu zahtijevati dodatne mjere ili temeljitiju procjenu.

U takvim slučajevima preporučuje se uključivanje prijavljenog tijela . Ta tijela, koja imenuju države članice, odgovorna su za provođenje ocjenjivanja sukladnosti kada je potrebna neovisna treća strana. Komisija vodi službeni popis prijavljenih tijela, a suradnja s jednim od njih pomaže osigurati da proizvod ispunjava sve specifične zahtjeve, čak i kada izravna primjena usklađenih normi nije dovoljna.

RED i Zakon o kibernetičkoj otpornosti: preklapanja i vremenski okvir

Zakon o kibernetičkoj otpornosti (CRA) dodaje još jedan regulatorni sloj europskom ekosustavu kibernetičke sigurnosti. Njegov opseg je čak i širi od opsega Zakona RED, jer se primjenjuje na gotovo sve „proizvode s digitalnim elementima“: čipove, softver, uređaje, aplikacije itd., pokrivajući cijeli životni ciklus, od dizajna do ažuriranja i upravljanja ranjivostima.

CRA utvrđuje osnovne zahtjeve kao što je obveza pružanja sigurnosnih ažuriranja tijekom nekoliko godina (u nacrtima se kao referenca spominje pet godina), kao i posebne obveze za upravljanje ranjivostima, odgovorno otkrivanje informacija, informiranje korisnika i izvještavanje o incidentima. Proizvodi su grupirani u kategorije s različitim shemama usklađenosti: samoprocjena za nekritične proizvode, procjena treće strane ili primjena standarda za kritičnu klasu I i procjena nacionalnog tijela za kritičnu klasu II.

Do danas je CRA već postigao politički dogovor unutar europskih institucija , iako se njegovi glavni zahtjevi neće primjenjivati ​​otprilike tri godine nakon stupanja na snagu. Međutim, obveze prijavljivanja ranjivosti i kibernetičkih incidenata mogle bi stupiti na snagu prije kraja 2025., što će mnoge tvrtke prisiliti da ojačaju svoje procese reagiranja na incidente.

Postoji jasno preklapanje između RED-a i CRA-e: većina radio opreme također su proizvodi s digitalnim komponentama . Nadalje, CRA uključuje iste ciljeve kibernetičke sigurnosti kao i članci 3(3)(d)-(f) RED-a. Međutim, ključna je vremenska crta: obveze prema RED-u i njegovoj Delegiranoj uredbi stupit će na snagu 1. kolovoza 2025., dok će većina CRA stupiti na snagu nešto kasnije.

U praksi to znači da će proizvođač povezanih termostata koji lansira proizvod u rujnu 2025. morati samostalno procijeniti barem zahtjeve RED-a (ili se osloniti na prijavljeno tijelo). Kasnije, kada CRA bude u potpunosti primjenjiv, možda će morati provesti drugu procjenu prema tom okviru, iako se očekuje određena konvergencija: zahtjevi RED-a mogli bi s vremenom postati podskup zahtjeva CRA-a, olakšavajući ponovnu upotrebu dokaza i dokumentacije.

Tehničko jačanje IoT mreža i uređaja

Osim usklađenosti s propisima, jačanje IoT mreže zahtijeva sveobuhvatan sistemski pristup . Osiguravanje samo uređaja ili samo oblaka nije dovoljno: moraju se uzeti u obzir hardver, firmver, povezivost, API-ji, pozadinski sustav i operacije.

Ključne tehničke obrane uključuju prakse koje su već usklađene sa zahtjevima normi EN 18031, ETSI EN 303 645 ili NIST 8259:

• Sigurno pokretanje i validacija firmvera: sprječavanje izvršavanja neovlaštenog koda pri pokretanju uređaja, provjera kriptografskih potpisa i osiguranje integriteta firmvera.
• Ojačavanje sučeljaOnemogućite nepotrebne portove i usluge, segmentirajte mreže i zaštitite upravljačka sučelja snažnom autentifikacijom i, gdje je to moguće, ograničenim pristupom.
• Šifriranje komunikacije: koristiti moderne protokole poput TLS 1.2+ ili 1.3 za sav podatkovni promet, uključujući telemetriju, kontrolne naredbe i upravljačke kanale.
• Robusno upravljanje vjerodajnicama: ukloniti zadane vjerodajnice, prisiliti promjenu pri prvoj upotrebi, provoditi pravila o jakim lozinkama i uključiti, gdje je to prikladno, mehanizme višefaktorske autentifikacije.
• Automatska i sigurna ažuriranjauspostaviti OTA (Over-the-Air) procese ažuriranja s kriptografskom provjerom, šifriranim kanalima i mogućnošću vraćanja u prethodno stanje u slučaju kvara.
• Sigurnost API-ja: autentificirati i autorizirati sve pozive trećih strana, ograničiti dopuštenja koristeći principe najmanjih privilegija i revidirati pristup ključnim resursima.
• Praćenje i analitika ponašanjaPrimijenite rješenja za otkrivanje anomalija, često pokretana umjetnom inteligencijom, kako biste identificirali neobično ponašanje uređaja, preopterećenje prometa ili tipične obrasce zlonamjernog softvera.
• Sigurnost lanca opskrbe: provjeriti podrijetlo hardverskih i softverskih komponenti, izvršiti analizu firmvera i zahtijevati sigurnosna jamstva od dobavljača.

Paralelno s tim, privatnost mora biti izvorno integrirana . To uključuje ne samo šifriranje podataka, već i minimiziranje prikupljenih informacija, ponudu jasnih korisničkih postavki, izbjegavanje nepotrebnog praćenja i usklađivanje obrade podataka s načelima GDPR-a, i to po zadanim postavkama i prema zadanim postavkama.

Praktična usklađenost s RED-om: ključni procesi i agenti

Za proizvođače, usklađenost s RED-om i Delegiranom uredbom 2022/30 nije samo inženjersko pitanje , već i pitanje procesa i upravljanja. Preporučljivo je imati jasnu kartu svih pogođenih proizvoda, njihove arhitekture, podataka koje obrađuju i funkcija plaćanja ili monetizacije koje mogu aktivirati zahtjeve iz članka 3(3)(f).

U mnogim slučajevima, samoprocjena se može provesti , pod uvjetom da je proizvod dizajniran u skladu s usklađenim standardima i da se održava robusna tehnička dokumentacija. Međutim, za složene scenarije ili kada standard ne pokriva u potpunosti slučaj upotrebe, korištenje prijavljenog tijela pruža pravnu i tehničku sigurnost.

Dok industrija čeka sazrijevanje usklađenih standarda i shema procjene CRA, pojavile su se inicijative poput PSA Certified , koje nude okvire za certifikaciju usklađene s novim propisima (RED, CRA i britanski PSTI). PSA Certified Level 1, na primjer, uključuje poseban regulatorni odjeljak u kojem proizvođači mogu dokumentirati svoju usklađenost s regulatornim zahtjevima i podnijeti tu dokumentaciju na neovisni pregled.

Ove vrste shema, usklađene s najboljim globalnim praksama kao što su EN 303 645 i NIST 8259 , omogućuju proizvođačima originalne opreme (OEM), dobavljačima softvera i proizvođačima čipova da budu ispred budućnosti, integrirajući od sada kontrole koje zahtijevaju i RED i CRA te drugi nacionalni okviri.

IoT platforme, ažuriranja i upravljanje voznim parkom

Još jedan ključni aspekt ojačavanja IoT mreža je mogućnost centraliziranog upravljanja velikim brojem uređaja . Bez robusne platforme za upravljanje, primjena zakrpa, rotiranje certifikata ili otkrivanje sumnjivog ponašanja postaje gotovo nemoguće u velikim razmjerima.

U ovom području, sveobuhvatna IoT rješenja koja kombiniraju orkestraciju podataka, upravljanje uređajima, bežična (OTA) ažuriranja i mogućnosti umjetne inteligencije za donošenje odluka postaju sve važnija. Značajke poput međusobne SSL autentifikacije, periodične rotacije certifikata i sigurnih ažuriranja firmvera jačaju i krajnju točku i mrežu.

Neke platforme također integriraju alate za kibernetičku sigurnost specifične za IoT, uključujući sigurnost tijekom izvođenja i kontinuiranu analizu ranjivosti . To olakšava otkrivanje odstupanja u ponašanju u implementiranim uređajima, otkrivanje ranjivosti prije i nakon implementacije u produkciji te određivanje prioriteta mjera ublažavanja.

Paralelno s tim, ove platforme služe kao temelj za poslovne modele temeljene na servitizaciji : monetizacija podataka, modeli pretplate, napredne usluge temeljene na umjetnoj inteligenciji/strojnom učenju itd. Dakle, trud uložen u usklađenost s RED-om i poboljšanu sigurnost ne samo da smanjuje rizik već i otvara vrata novim izvorima prihoda i ponudama s dodanom vrijednošću.

Cijeli ovaj pristup, kada je promišljeno osmišljen, pokazuje jasnu predanost sigurnosti i regulaciji od strane proizvođača i pružatelja tehnologije, nešto što sve više cijene i krajnji kupci i regulatori.

Tvrtke za testiranje, certificiranje i ocjenjivanje sukladnosti također igraju značajnu ulogu, nudeći tehničke revizije, laboratorijska ispitivanja, pa čak i specijaliziranu obuku o RED-u, CRA-i i drugim propisima. Iskorištavanje njihove stručnosti može uvelike ubrzati krivulju učenja za organizacije koje se prvi put suočavaju s ovim regulatornim okvirom.

Ukratko, jačanje IoT mreža u okviru RED-a i budućeg CRA-a zahtijeva preispitivanje dizajna povezanih proizvoda, jačanje sigurnih procesa razvoja, praćenja i ažuriranja te temeljito razumijevanje kako se svaki uređaj uklapa u labirint europskih propisa. Oni koji se ranije suoče s ovim izazovom bit će u boljoj poziciji za smanjenje rizika, izbjegavanje kazni i istovremeno iskorištavanje prilike da se istaknu kroz sigurnost, povjerenje i kvalitetu na sve zahtjevnijem IoT tržištu.