Penguatan jaringan IoT dan kepatuhan terhadap arahan RED

Informatec Digital » Sumber daya » Penguatan jaringan IoT dan kepatuhan terhadap arahan RED

Ledakan perangkat IoT dan radio di rumah, pabrik, energi, perawatan kesehatan, dan transportasi telah sepenuhnya mengubah cara kita terhubung… dan juga permukaan serangan yang tersedia bagi penjahat siber. Setiap meteran pintar, setiap perangkat yang dapat dikenakan, dan setiap sensor industri, pada praktiknya, merupakan titik masuk potensial ke dalam jaringan jika belum dirancang dengan mempertimbangkan keamanan sejak awal.

Dalam konteks ini, penguatan jaringan IoT di bawah Direktif Peralatan Radio (RED) dan Undang-Undang Ketahanan Siber (CRA) yang akan datang telah menjadi isu penting bagi produsen, integrator, operator, dan perusahaan mana pun yang menjual produk terhubung di Uni Eropa. Ini bukan hanya tentang "mematuhi aturan administrasi": kewajiban hukum baru ini memberlakukan persyaratan keamanan siber, privasi, dan perlindungan terhadap penipuan yang sangat spesifik yang memengaruhi desain perangkat keras, firmware, perangkat lunak, konektivitas, dan layanan cloud.

Kerangka hukum Eropa: mengapa RED dan CRA mengubah segalanya

Selama dekade terakhir, IoT telah berkembang pesat berkat teknologi seperti Wi-Fi, Bluetooth, dan NFC, yang telah mengubah banyak produk menjadi perangkat radio yang mampu berkomunikasi satu sama lain dan dengan cloud. Namun, dalam hal keamanan siber, perangkat-perangkat ini dianggap sebagai salah satu titik terlemah: banyak solusi rumah pintar masih kekurangan perlindungan minimal, dan di lingkungan industri dan manufaktur, masih terdapat kesenjangan besar dalam keamanan TI dan OT.

Dampak ekonomi dari situasi ini sangat brutal: biaya global kejahatan siber mencapai sekitar 5,5 triliun euro pada tahun 2020 menurut Dewan Uni Eropa, dan studi terbaru seperti yang dilakukan oleh Trend Micro menunjukkan bahwa hampir 90% perusahaan energi, minyak dan gas, atau manufaktur Jerman mengalami serangan siber hanya dalam 12 bulan, dengan kerugian rata-rata hampir 3 juta euro per perusahaan.

Sementara itu, munculnya perangkat wearable dan model bisnis berbasis data serta didukung AI semakin menyoroti pentingnya melindungi informasi pribadi. Regulasi seperti GDPR (Peraturan (EU) 2016/679) atau mantan Direktif R&TTE 1999/5/EC belum cukup untuk mencakup jenis ancaman yang saat ini dihadapi perangkat yang terhubung, terutama terkait serangan siber canggih, penipuan daring, dan manipulasi layanan.

Sebagai tanggapan, Uni Eropa telah memperkuat Direktif Peralatan Radio (RED) 2014/53/EU , yang berlaku sejak 2016, yang menggantikan R&TTE. RED sebelumnya telah mengatur kompatibilitas elektromagnetik, keselamatan listrik, dan penggunaan spektrum radio yang efisien; sekarang, direktif ini juga mencakup kewajiban keamanan siber tingkat tinggi yang memengaruhi sebagian besar peralatan radio yang terhubung, termasuk banyak perangkat IoT.

Peraturan Delegasi (EU) 2022/30 dan Pasal 3(3)(d)-(f) RED

Titik balik sebenarnya terjadi dengan Peraturan Delegasi (EU) 2022/30 , yang diadopsi pada 29 Oktober 2021. Peraturan ini “mengaktifkan” Pasal 3(3)(d), (e) dan (f) dari NET, yang mendefinisikan kategori peralatan radio mana yang harus mematuhi persyaratan baru untuk keamanan siber, privasi, dan perlindungan terhadap penipuan.

Standar ini berfokus pada beberapa keluarga produk yang sangat sensitif, termasuk sebagian besar ekosistem IoT konsumen dan profesional :

• Peralatan radio yang terhubung ke internetPerangkat apa pun yang dapat berkomunikasi dengan jaringan, secara langsung atau tidak langsung. Ini termasuk ponsel pintar, tablet, router, perangkat IoT rumah tangga, sensor industri yang terhubung, dan lain sebagainya.
• Peralatan radio untuk perawatan anak: produk yang dirancang khusus untuk memantau atau membantu perawatan anak di bawah umur, seperti monitor bayi yang terhubung ke internet.
• Peralatan radio yang tercakup dalam Petunjuk Keselamatan Mainan 2009/48/ECMainan dengan fungsi radio yang mampu merekam, menyimpan, atau berbagi informasi, berinteraksi dengan pengguna (terutama anak-anak) atau yang mengintegrasikan mikrofon, speaker, atau sensor.
• Perangkat radio yang dapat dikenakan: segala sesuatu yang dirancang untuk dikenakan di atas atau di pakaian, seperti jam tangan pintar, pelacak aktivitas, headset, headphone, atau kacamata pintar.

Penting untuk dicatat bahwa kategori-kategori tertentu dikecualikan dari peraturan ini karena mereka sudah memiliki kerangka kerja khusus mereka sendiri: perangkat medis (Peraturan (EU) 2017/745 dan 2017/746), peralatan penerbangan sipil, sistem tol elektronik, dan perangkat lain yang diatur oleh peraturan sektoral yang berbeda dan dikecualikan dari cakupan RED.

Awalnya, kewajiban baru ini seharusnya berlaku mulai 1 Agustus 2024, tetapi Komisi Eropa memutuskan untuk menunda tanggal tersebut selama satu tahun untuk memberi waktu kepada industri. Batas waktu wajib baru untuk kepatuhan terhadap Peraturan Delegasi (UE) 2022/30 adalah 1 Agustus 2025. Produsen, distributor, dan OEM yang mengintegrasikan modul radio harus menggunakan waktu ini untuk menyesuaikan desain, mengamankan proses pengembangan, dan dokumentasi kesesuaian.

Persyaratan keamanan siber, privasi, dan anti-penipuan dalam jaringan.

Pasal 3(3)(d), (e) dan (f) RED memuat inti dari persyaratan keamanan baru, yang dirancang untuk mengurangi risiko yang terkait dengan konektivitas peralatan radio, khususnya perangkat IoT.

Pasal 3(3)(d) membahas semua peralatan radio yang terhubung ke internet dan mensyaratkan bahwa peralatan tersebut dirancang sedemikian rupa sehingga tidak membahayakan jaringan atau fungsinya, menyalahgunakan sumber daya jaringan, atau menurunkan kualitas layanan secara tidak dapat diterima . Dalam praktiknya, hal ini mencakup langkah-langkah untuk mencegah perangkat yang disusupi mengganggu layanan, melancarkan serangan DDoS, atau mengganggu ketersediaan jaringan kritis.

Pasal 3(3)(e) berfokus pada perlindungan data pribadi dan privasi pengguna dan pelanggan. Pasal ini mensyaratkan bahwa peralatan radio yang memproses data pribadi harus menyertakan pengamanan untuk mencegah akses tidak sah atau transmisi informasi yang tidak tepat, misalnya melalui kontrol akses yang kuat, enkripsi data saat transit dan saat disimpan, serta prinsip privasi sejak tahap perancangan dan minimalisasi data.

Pasal 3(3)(f) memperkenalkan persyaratan khusus untuk perangkat yang memproses mata uang virtual atau nilai moneter , yaitu perangkat yang terlibat dalam pembayaran digital, dompet elektronik, atau operasi serupa. Perangkat ini harus mencakup kontrol penipuan yang ditingkatkan, seperti mekanisme otentikasi pengguna yang kuat, pemeriksaan integritas transaksi, dan deteksi aktivitas mencurigakan.

Selain itu, Pasal 4 RED membahas poin penting bagi ekosistem IoT : kombinasi peralatan radio dengan perangkat lunak. Produsen diharuskan memberikan informasi tentang kesesuaian kombinasi perangkat keras dan perangkat lunak yang dimaksud, memastikan bahwa, setelah pembaruan atau modifikasi perangkat lunak, produk tersebut terus memenuhi persyaratan penting dari arahan tersebut.

Lingkup aplikasi: apa yang dianggap sebagai peralatan radio?

Untuk memahami secara tepat apa yang termasuk dalam kewajiban ini, kita harus kembali pada definisi arahan itu sendiri. Menurut Pasal 2(1) RED , peralatan radio didefinisikan sebagai produk listrik atau elektronik apa pun yang mengirimkan dan/atau menerima gelombang radio untuk keperluan komunikasi radio atau navigasi radio, atau yang memerlukan aksesori (seperti antena) untuk melakukannya.

Definisi ini dibatasi oleh pengecualian dalam Pasal 1(2), 1(3) dan Lampiran I , yang mengecualikan peralatan tertentu yang diatur secara khusus. Lebih lanjut, Peraturan Delegasi 2022/30 menambahkan syarat bahwa perangkat harus dapat terhubung ke internet agar persyaratan keamanan siber Pasal 3(3)(d)-(f) berlaku.

Pada praktiknya, sebagian besar produk dengan kemampuan IoT dan konektivitas nirkabel yang dipasarkan di Uni Eropa akan berada di bawah pengawasan RED: mulai dari termostat yang terhubung hingga pengontrol industri dengan modul seluler, termasuk perangkat yang dapat dikenakan, router rumah, speaker pintar, atau solusi bangunan pintar.

Standar harmonisasi EN 18031: peta jalan teknis

Untuk mempermudah produsen dalam menunjukkan kepatuhan, Komisi Eropa menugaskan CEN dan CENELEC untuk mengembangkan standar teknis yang menerjemahkan persyaratan hukum ke dalam kontrol dan pengujian konkret. Hasil kerja ini berupa standar harmonisasi seri EN 18031.

Sejak 28 Januari 2025, tiga standar EN 18031 telah diharmonisasikan di bawah RED , yang memberikan jalur yang relatif jelas untuk penilaian keamanan siber:

• EN-18031 1: mendefinisikan persyaratan keamanan siber dasar untuk peralatan radio, termasuk otentikasi, enkripsi, manajemen kredensial, mekanisme boot aman, dan proses pembaruan firmware.
• EN-18031 2Fokusnya adalah pada perlindungan privasi bagi tim yang menangani data pribadi atau lokasi, dengan langkah-langkah untuk meminimalkan data, kontrol pengguna, dan perlindungan terhadap kebocoran.
• EN-18031 3Hal ini membahas keamanan perangkat yang terlibat dalam pembayaran digital dan uang virtual, memperkuat integritas transaksi dan perlindungan terhadap penipuan.

Meskipun demikian, sekadar "mencentang kotak" untuk mematuhi standar saja tidak cukup . Beberapa klausul dalam standar ini memiliki batasan dan tidak mencakup semua skenario. Misalnya, produk yang memungkinkan pengoperasian tanpa kata sandi wajib, tidak memiliki kontrol orang tua yang memadai, atau menawarkan pengaturan keamanan opsional mungkin memerlukan tindakan tambahan atau evaluasi yang lebih menyeluruh.

Dalam kasus seperti itu, rekomendasinya adalah melibatkan Badan Pemberi Sertifikasi (Notified Body) . Badan-badan ini, yang ditunjuk oleh Negara Anggota, bertanggung jawab untuk melakukan penilaian kesesuaian ketika pihak ketiga yang independen diperlukan. Komisi memiliki daftar resmi Badan Pemberi Sertifikasi, dan bekerja sama dengan salah satu dari mereka membantu memastikan bahwa produk tersebut memenuhi semua persyaratan khusus, bahkan ketika penerapan langsung standar yang harmonis tidak mencukupi.

RED dan Undang-Undang Ketahanan Siber: tumpang tindih dan garis waktu

Undang-Undang Ketahanan Siber (Cyber ​​Resilience Act/CRA) menambahkan lapisan regulasi lain pada ekosistem keamanan siber Eropa. Cakupannya bahkan lebih luas daripada Undang-Undang RED, karena berlaku untuk hampir semua "produk dengan elemen digital": chip, perangkat lunak, perangkat, aplikasi, dll., mencakup seluruh siklus hidup, dari desain hingga pembaruan dan manajemen kerentanan.

CRA menetapkan persyaratan dasar seperti kewajiban untuk menyediakan pembaruan keamanan selama beberapa tahun (draf menyebutkan lima tahun sebagai referensi), serta kewajiban khusus untuk manajemen kerentanan, pengungkapan yang bertanggung jawab, informasi pengguna, dan pelaporan insiden. Produk dikelompokkan ke dalam kategori dengan skema kepatuhan yang berbeda: penilaian mandiri untuk produk non-kritis, penilaian pihak ketiga atau penerapan standar untuk Kelas Kritis I, dan penilaian oleh badan nasional untuk Kelas Kritis II.

Hingga saat ini, CRA telah mencapai kesepakatan politik di dalam lembaga-lembaga Eropa , meskipun persyaratan utamanya baru akan diterapkan sekitar tiga tahun setelah diberlakukan. Namun, kewajiban untuk melaporkan kerentanan dan insiden siber dapat mulai berlaku sebelum akhir tahun 2025, yang akan memaksa banyak perusahaan untuk memperkuat proses respons insiden mereka.

Terdapat tumpang tindih yang jelas antara RED dan CRA: sebagian besar peralatan radio juga merupakan produk dengan komponen digital . Selain itu, CRA menggabungkan tujuan keamanan siber yang sama dengan Pasal 3(3)(d)-(f) RED. Namun, poin kuncinya adalah jangka waktu: kewajiban berdasarkan RED dan Peraturan Delegasinya akan mulai berlaku pada 1 Agustus 2025, sedangkan sebagian besar CRA akan mulai berlaku agak lebih lambat.

Dalam praktiknya, ini berarti bahwa produsen termostat terhubung yang meluncurkan produk pada September 2025 harus melakukan penilaian mandiri setidaknya terhadap persyaratan RED (atau mengandalkan Badan Pemberi Sertifikasi). Kemudian, ketika CRA sepenuhnya berlaku, mereka mungkin harus melakukan penilaian kedua di bawah kerangka kerja tersebut, meskipun beberapa konvergensi diharapkan: persyaratan RED pada akhirnya dapat menjadi bagian dari persyaratan CRA, sehingga memudahkan penggunaan kembali bukti dan dokumentasi.

Penguatan teknis jaringan dan perangkat IoT

Di luar kepatuhan terhadap peraturan, penguatan jaringan IoT membutuhkan pendekatan sistem yang komprehensif . Mengamankan hanya perangkat atau hanya cloud saja tidak cukup: perangkat keras, firmware, konektivitas, API, backend, dan operasi semuanya harus dipertimbangkan.

Pertahanan teknis utama mencakup praktik yang sudah selaras dengan persyaratan EN 18031, ETSI EN 303 645 atau NIST 8259:

• Boot aman dan validasi firmware: mencegah eksekusi kode yang tidak sah saat perangkat diny启动, memverifikasi tanda tangan kriptografi, dan memastikan integritas firmware.
• Penguatan antarmukaNonaktifkan port dan layanan yang tidak perlu, segmentasikan jaringan, dan lindungi antarmuka manajemen dengan otentikasi yang kuat dan, jika memungkinkan, akses terbatas.
• Enkripsi komunikasi: menggunakan protokol modern seperti TLS 1.2+ atau 1.3 untuk semua lalu lintas data, termasuk telemetri, perintah kontrol, dan saluran manajemen.
• Manajemen kredensial yang andal: menghapus kredensial default, memaksa perubahan pada penggunaan pertama, menerapkan kebijakan kata sandi yang kuat, dan menyertakan, jika sesuai, mekanisme otentikasi multi-faktor.
• Pembaruan otomatis dan aman: Menetapkan proses pembaruan OTA (Over-the-Air) dengan verifikasi kriptografi, saluran terenkripsi, dan kemampuan rollback jika terjadi kegagalan.
• Keamanan APIMelakukan otentikasi dan otorisasi semua panggilan pihak ketiga, membatasi izin menggunakan prinsip hak akses minimal, dan mengaudit akses ke sumber daya utama.
• Pemantauan dan analisis perilakuTerapkan solusi deteksi anomali, yang sering kali didukung oleh AI, untuk mengidentifikasi perilaku perangkat yang tidak biasa, kelebihan lalu lintas, atau pola malware yang umum.
• Keamanan rantai pasokanMelakukan verifikasi asal usul komponen perangkat keras dan perangkat lunak, melakukan analisis firmware, dan menuntut jaminan keamanan dari pemasok.

Sejalan dengan itu, privasi harus diintegrasikan secara bawaan . Hal ini tidak hanya mencakup enkripsi data, tetapi juga meminimalkan informasi yang dikumpulkan, menawarkan pengaturan pengguna yang jelas, menghindari pelacakan yang tidak perlu, dan menyelaraskan pemrosesan data dengan prinsip-prinsip GDPR, baik dari segi desain maupun secara default.

Kepatuhan praktis terhadap RED: proses dan agen utama.

Bagi produsen, mematuhi RED dan Peraturan Delegasi 2022/30 bukan hanya masalah teknik , tetapi juga masalah proses dan tata kelola. Disarankan untuk memiliki peta yang jelas tentang semua produk yang terpengaruh, arsitekturnya, data yang ditanganinya, dan fungsi pembayaran atau monetisasi yang dapat memicu persyaratan Pasal 3(3)(f).

Dalam banyak kasus, penilaian mandiri dapat dilakukan , asalkan produk telah dirancang sesuai dengan standar yang harmonis dan dokumentasi teknis yang kuat dipelihara. Namun, untuk skenario yang kompleks atau ketika standar tidak sepenuhnya mencakup kasus penggunaan, menggunakan Badan Sertifikasi (Notified Body) memberikan kepastian hukum dan teknis.

Sembari industri menunggu kematangan standar yang harmonis dan skema penilaian CRA, inisiatif seperti PSA Certified telah muncul , menawarkan kerangka sertifikasi yang selaras dengan peraturan yang sedang berkembang (RED, CRA, dan PSTI Inggris). PSA Certified Level 1, misalnya, mencakup bagian peraturan khusus di mana produsen dapat mendokumentasikan kepatuhan mereka terhadap persyaratan peraturan dan mengirimkan dokumentasi tersebut untuk tinjauan independen.

Skema-skema semacam ini, yang selaras dengan praktik terbaik global seperti EN 303 645 dan NIST 8259 , memungkinkan OEM, penyedia perangkat lunak, dan produsen chip untuk mengantisipasi tantangan di masa depan, dengan mengintegrasikan mulai sekarang kontrol yang dipersyaratkan oleh RED dan CRA serta kerangka kerja nasional lainnya.

Platform IoT, pembaruan, dan manajemen armada

Aspek penting lainnya dalam memperkuat jaringan IoT adalah kemampuan untuk mengelola sejumlah besar perangkat secara terpusat . Tanpa platform manajemen yang andal, menerapkan patch, merotasi sertifikat, atau mendeteksi perilaku mencurigakan menjadi hampir mustahil dalam skala besar.

Di bidang ini, solusi IoT komprehensif yang menggabungkan orkestrasi data, manajemen perangkat, pembaruan over-the-air (OTA), dan kemampuan AI untuk pengambilan keputusan menjadi semakin penting. Fitur-fitur seperti otentikasi SSL timbal balik, rotasi sertifikat berkala, dan pembaruan firmware yang aman memperkuat baik titik akhir maupun jaringan.

Beberapa platform juga mengintegrasikan alat keamanan siber khusus IoT, termasuk keamanan saat runtime dan analisis kerentanan berkelanjutan . Hal ini mempermudah pendeteksian penyimpangan perilaku pada perangkat yang telah digunakan, menemukan kerentanan baik sebelum maupun sesudah penerapan produksi, dan memprioritaskan tindakan mitigasi.

Secara paralel, platform-platform ini berfungsi sebagai fondasi bagi model bisnis berbasis layanan : monetisasi data, model berlangganan, layanan berbasis AI/ML tingkat lanjut, dan lain sebagainya. Dengan demikian, upaya yang diinvestasikan dalam kepatuhan RED dan peningkatan keamanan tidak hanya mengurangi risiko tetapi juga membuka pintu bagi aliran pendapatan baru dan penawaran nilai tambah.

Pendekatan menyeluruh ini, jika dirancang dengan cermat, menunjukkan komitmen yang jelas terhadap keselamatan dan regulasi dari pihak produsen dan penyedia teknologi, sesuatu yang semakin dihargai oleh pelanggan akhir dan regulator.

Perusahaan jasa pengujian, sertifikasi, dan penilaian kesesuaian juga memainkan peran penting, menawarkan audit teknis, pengujian laboratorium, dan bahkan pelatihan khusus tentang RED, CRA, dan peraturan lainnya. Memanfaatkan keahlian mereka dapat sangat mempercepat proses pembelajaran bagi organisasi yang menghadapi kerangka peraturan ini untuk pertama kalinya.

Singkatnya, penguatan jaringan IoT dalam kerangka RED dan CRA di masa mendatang memerlukan peninjauan ulang desain produk yang terhubung, penguatan proses pengembangan, pemantauan, dan pembaruan yang aman, serta pemahaman menyeluruh tentang bagaimana setiap perangkat masuk ke dalam labirin peraturan Eropa. Mereka yang menghadapi tantangan ini lebih awal akan berada pada posisi yang lebih baik untuk mengurangi risiko, menghindari sanksi, dan pada saat yang sama, memanfaatkan peluang untuk membedakan diri melalui keamanan, kepercayaan, dan kualitas di pasar IoT yang semakin menuntut.