IoT tīkla aizsardzības nodrošināšana un atbilstība RED direktīvai

Informatec Digital » Resursi » IoT tīkla aizsardzības nodrošināšana un atbilstība RED direktīvai

IoT un radioierīču eksplozija mājās, rūpnīcās, enerģētikā, veselības aprūpē un transportā ir pilnībā mainījusi veidu, kā mēs savienojamies… un arī kibernoziedzniekiem pieejamo uzbrukuma virsmu. Katrs viedais skaitītājs, katra valkājamā ierīce un katrs rūpnieciskais sensors praksē ir potenciāls ieejas punkts tīklā, ja tas jau no paša sākuma nav izstrādāts, ņemot vērā drošību.

Šajā kontekstā lietu interneta (IoT) tīklu nostiprināšana saskaņā ar Radioiekārtu direktīvu (RED) un gaidāmo Kibernoturības likumu (CRA) ir kļuvusi par kritisku jautājumu ražotājiem, integratoriem, operatoriem un jebkuram uzņēmumam, kas pārdod savienotus produktus Eiropas Savienībā. Runa nav tikai par "dokumentācijas ievērošanu": jaunās juridiskās saistības uzliek ļoti specifiskas kiberdrošības, privātuma un krāpšanas aizsardzības prasības, kas ietekmē aparatūras, programmaparatūras, programmatūras, savienojamības un mākoņpakalpojumu izstrādi.

Eiropas tiesiskais regulējums: kāpēc RED un CRA visu maina

Pēdējās desmitgades laikā lietu internets (IoT) ir paplašinājies, pateicoties tādām tehnoloģijām kā Wi-Fi, Bluetooth un NFC, kas neskaitāmus produktus ir pārveidojušas par radioierīcēm, kas spēj sazināties savā starpā un ar mākoņpakalpojumiem. Tomēr kiberdrošības ziņā šīs ierīces tiek uzskatītas par vienu no vājākajiem punktiem: daudziem viedās mājas risinājumiem joprojām trūkst pat minimālas aizsardzības, un rūpniecības un ražošanas vidē joprojām pastāv milzīgas nepilnības gan IT, gan OT drošībā.

Šīs situācijas ekonomiskā ietekme ir nežēlīga: saskaņā ar ES Padomes datiem kibernoziegumu globālās izmaksas 2020. gadā bija aptuveni 5,5 triljoni eiro , un jaunākie pētījumi, piemēram, Trend Micro pētījums, liecina, ka gandrīz 90% Vācijas enerģētikas, naftas un gāzes vai ražošanas uzņēmumu tikai 12 mēnešu laikā cieta no kiberuzbrukumiem, un vidējie zaudējumi katram uzņēmumam bija gandrīz 3 miljoni eiro.

Tikmēr valkājamo ierīču un uz datiem balstītu, mākslīgā intelekta darbinātu biznesa modeļu pieaugums ir vēl vairāk uzsvēris personas informācijas aizsardzības nozīmi. Tādi noteikumi kā GDPR (Regula (ES) 2016/679) vai bijusī R&TTE direktīva 1999/5/EK nav pietiekami aptveruši tādus draudus, ar kuriem pašlaik saskaras savienotas ierīces, jo īpaši attiecībā uz progresīviem kiberuzbrukumiem, krāpšanu tiešsaistē un pakalpojumu manipulācijām.

Reaģējot uz to, Eiropas Savienība ir pastiprinājusi Radioiekārtu direktīvu (RED) 2014/53/ES , kas ir spēkā kopš 2016. gada un aizstāja R&TTE direktīvu. RED jau regulēja elektromagnētisko savietojamību, elektrodrošību un radiofrekvenču spektra efektīvu izmantošanu; tagad tajā ir iekļautas arī augsta līmeņa kiberdrošības saistības, kas ietekmē lielāko daļu savienoto radioiekārtu, tostarp daudzas lietu interneta (IoT) ierīces.

Deleģētā regula (ES) 2022/30 un AED 3. panta 3. punkta d)–f) apakšpunkts

Īstais pagrieziena punkts bija ar Deleģēto regulu (ES) 2022/30 , kas tika pieņemta 2021. gada 29. oktobrī. Šī regula “aktivizē” NET 3. panta (3) punkta d), e) un f) apakšpunktu, nosakot, kurām radioiekārtu kategorijām jāatbilst jaunajām kiberdrošības, privātuma un aizsardzības pret krāpšanu prasībām.

Standarts koncentrējas uz vairākām īpaši jutīgām produktu saimēm, tostarp lielu daļu no patērētāju un profesionālās lietu interneta ekosistēmas :

• Ar internetu savienotas radioiekārtasJebkura ierīce, kas var tieši vai netieši sazināties ar tīklu. Tas ietver viedtālruņus, planšetdatorus, maršrutētājus, mājas lietu interneta ierīces, savienotus rūpnieciskos sensorus utt.
• Radioiekārtas bērnu aprūpei: produkti, kas paredzēti tikai nepilngadīgo uzraudzībai vai aprūpei, piemēram, viedās bērnu uzraudzības ierīces.
• Radioiekārtas, uz kurām attiecas Rotaļlietu drošības direktīva 2009/48/EKRotaļlietas ar radio funkcijām, kas spēj ierakstīt, uzglabāt vai koplietot informāciju, mijiedarboties ar lietotājiem (īpaši bērniem) vai kurās ir integrēti mikrofoni, skaļruņi vai sensori.
• Valkājamas radioierīces: viss, kas paredzēts valkāšanai uz apģērba vai virs tā, piemēram, viedpulksteņi, aktivitāšu izsekotāji, austiņas, austiņas vai viedās brilles.

Ir svarīgi atzīmēt, ka noteiktas kategorijas ir izslēgtas no šīs regulas , jo tām jau ir savs īpašs regulējums: medicīnas ierīces (Regulas (ES) 2017/745 un 2017/746), civilās aviācijas iekārtas, elektroniskās ceļu lietotāju nodevu iekasēšanas sistēmas un citas ierīces, kuras regulē dažādi nozaru tiesību akti un kuras ir izslēgtas no RED darbības jomas.

Sākotnēji šīs jaunās saistības bija jāpiemēro no 2024. gada 1. augusta, taču Eiropas Komisija nolēma atlikt datumu par vienu gadu, lai dotu nozarei laiku. Jaunais obligātais termiņš atbilstības nodrošināšanai Deleģētajai regulai (ES) 2022/30 ir 2025. gada 1. augusts. Ražotājiem, izplatītājiem un oriģinālā aprīkojuma ražotājiem (OEM), kas integrē radio moduļus, šis laiks jāizmanto, lai pielāgotu dizainu, nodrošinātu izstrādes procesus un atbilstības dokumentāciju.

Kiberdrošības, privātuma un krāpšanas apkarošanas prasības tīklā

RID 3. panta 3. punkta d), e) un f) apakšpunktā ir ietverta jauno drošības prasību pamatdaļa, kas paredzēta, lai samazinātu ar radioiekārtu, jo īpaši lietu interneta (IoT) ierīču, savienojamību saistītos riskus.

3. panta (3) punkta (d) apakšpunkts attiecas uz visām internetam pieslēgtajām radioiekārtām un nosaka, ka tām jābūt projektētām tā, lai tās nekaitētu tīklam vai tā funkcijām, ļaunprātīgi neizmantotu tīkla resursus vai nepieņemami nepasliktinātu pakalpojumu kvalitāti . Praksē tas nozīmē pasākumus, lai novērstu to, ka apdraudēta ierīce pārtrauc pakalpojuma sniegšanu, veic DDoS uzbrukumu vai traucē kritiski svarīgu tīklu pieejamību.

3. panta (3) punkta (e) apakšpunkts ir vērsts uz personas datu un lietotāju un abonentu privātuma aizsardzību . Tajā ir noteikts, ka radioiekārtām, kas apstrādā personas datus, jāietver drošības pasākumi, lai novērstu neatļautu piekļuvi informācijai vai tās neatbilstošu pārsūtīšanu, piemēram, izmantojot stingras piekļuves kontroles, datu šifrēšanu gan pārsūtīšanas laikā, gan miera stāvoklī, kā arī integrētas privātuma un datu minimizēšanas principus.

3. panta (3) punkta (f) apakšpunktā ir ieviestas īpašas prasības ierīcēm, kas apstrādā virtuālo valūtu vai monetārās vērtības , proti, tām, kas iesaistītas digitālajos maksājumos, elektroniskajos makos vai līdzīgās darbībās. Šīm ierīcēm jāietver uzlabota krāpšanas kontrole, piemēram, spēcīgi lietotāju autentifikācijas mehānismi, darījumu integritātes pārbaudes un aizdomīgu darbību atklāšana.

Turklāt RID 4. pantā ir aplūkots svarīgs lietu interneta (IoT) ekosistēmas jautājums : radioiekārtu kombinācija ar programmatūru. Ražotājiem ir jāsniedz informācija par paredzēto aparatūras un programmatūras kombināciju atbilstību, nodrošinot, ka pēc programmatūras atjaunināšanas vai modifikācijas produkts turpina atbilst direktīvas pamatprasībām.

Pielietojuma joma: kas tiek uzskatīts par radioiekārtu

Lai precīzi saprastu, kas ir iekļauts šajos pienākumos, mums jāatgriežas pie pašas direktīvas definīcijas. Saskaņā ar RID 2. panta 1. punktu radioiekārtas ir definētas kā jebkurš elektrisks vai elektronisks izstrādājums, kas pārraida un/vai uztver radioviļņus radiosakaru vai radionavigācijas vajadzībām vai kam šim nolūkam ir nepieciešami piederumi (piemēram, antena).

Šo definīciju ierobežo 1. panta 2. punktā, 3. punktā un I pielikumā minētie izņēmumi , kas izslēdz noteiktas īpaši regulētas iekārtas. Turklāt Deleģētajā regulā 2022/30 ir pievienots nosacījums, ka ierīcei ir jāspēj izveidot savienojumu ar internetu, lai būtu piemērojamas 3. panta 3. punkta d)–f) apakšpunktā noteiktās kiberdrošības prasības.

Praksē lielākā daļa produktu ar lietu interneta (IoT) iespējām un bezvadu savienojamību, kas tiek tirgoti ES, nonāks RED redzeslokā: sākot no savienota termostata līdz rūpnieciskam kontrolierim ar mobilo sakaru moduli, tostarp valkājamām ierīcēm, mājas maršrutētājiem, viedajiem skaļruņiem vai viedās ēkas risinājumiem.

Saskaņotie standarti EN 18031: tehniskā ceļvedis

Lai ražotājiem būtu vieglāk pierādīt atbilstību, Eiropas Komisija uzdeva CEN un CENELEC izstrādāt tehniskos standartus, kas juridiskās prasības pārvērstu konkrētos kontroles pasākumos un testos. Šī darba rezultātā tika izstrādāti EN 18031 sērijas saskaņotie standarti.

Kopš 2025. gada 28. janvāra RED ietvaros ir saskaņoti trīs EN 18031 standarti , kas nodrošina relatīvi skaidru kiberdrošības novērtēšanas ceļu:

• LV-18031 1: nosaka radioiekārtu kiberdrošības pamatprasības, tostarp autentifikāciju, šifrēšanu, akreditācijas datu pārvaldību, drošas sāknēšanas mehānismus un programmaparatūras atjaunināšanas procesus.
• LV-18031 2Tajā galvenā uzmanība tiek pievērsta privātuma aizsardzības pasākumiem komandām, kas apstrādā personas vai atrašanās vietas datus, ietverot pasākumus datu samazināšanai, lietotāju kontrolei un aizsardzībai pret noplūdēm.
• LV-18031 3Tas risina digitālajos maksājumos un virtuālajā valūtā iesaistīto ierīču drošības jautājumus, pastiprinot darījumu integritāti un aizsardzību pret krāpšanu.

Pat ja tā, vienkārši “atzīmēt lodziņu”, lai atbilstu standartam, nepietiek . Dažām šo standartu klauzulām ir ierobežojumi, un tās neaptver visus scenārijus. Piemēram, produktiem, kas ļauj darboties bez obligātas paroles, kuriem trūkst atbilstošu vecāku kontroles funkciju vai kuri piedāvā papildu drošības iestatījumus, var būt nepieciešami papildu pasākumi vai rūpīgāka izvērtēšana.

Šādos gadījumos ieteicams iesaistīt pilnvaroto iestādi . Šīs dalībvalstu norīkotās iestādes ir atbildīgas par atbilstības novērtējumu veikšanu, ja ir nepieciešama neatkarīga trešā puse. Komisija uztur oficiālu pilnvaroto iestāžu sarakstu, un sadarbība ar vienu no tām palīdz nodrošināt, ka produkts atbilst visām īpašajām prasībām, pat ja saskaņoto standartu tieša piemērošana nav pietiekama.

RED un Kibernoturības likums: pārklāšanās un laika grafiks

Kibernoturības likums (CRA) pievieno vēl vienu regulatīvo slāni Eiropas kiberdrošības ekosistēmai. Tā darbības joma ir pat plašāka nekā RED likuma darbības joma, jo tas attiecas praktiski uz visiem “produktiem ar digitāliem elementiem”: mikroshēmām, programmatūru, ierīcēm, lietojumprogrammām utt., aptverot visu dzīves ciklu, sākot no projektēšanas līdz atjauninājumiem un ievainojamību pārvaldībai.

CRA nosaka pamatprasības, piemēram, pienākumu nodrošināt drošības atjauninājumus vairākus gadus (projektos kā atsauce minēti pieci gadi), kā arī konkrētus pienākumus attiecībā uz ievainojamību pārvaldību, atbildīgu informācijas izpaušanu, lietotāju informēšanu un incidentu ziņošanu. Produkti ir sagrupēti kategorijās ar dažādām atbilstības shēmām: pašnovērtējums nekritiskiem produktiem, trešās puses novērtējums vai standartu piemērošana kritiskās I klases produktiem un valsts iestādes novērtējums kritiskās II klases produktiem.

Līdz šim CRA jau ir panākusi politisku vienošanos Eiropas iestādēs , lai gan tās galvenās prasības netiks piemērotas līdz aptuveni trim gadiem pēc tās stāšanās spēkā. Tomēr pienākums ziņot par ievainojamībām un kiberincidentiem varētu stāties spēkā pirms 2025. gada beigām, kas daudziem uzņēmumiem liks stiprināt savus incidentu reaģēšanas procesus.

Pastāv skaidra RID un CRA pārklāšanās: lielākā daļa radioiekārtu ir arī produkti ar digitāliem komponentiem . Turklāt CRA ietver tādus pašus kiberdrošības mērķus kā RID 3. panta 3. punkta d)-f) apakšpunkts. Tomēr galvenais ir laika grafiks: RID un tās deleģētās regulas saistības stāsies spēkā 2025. gada 1. augustā, savukārt lielākā daļa CRA stāsies spēkā nedaudz vēlāk.

Praksē tas nozīmē, ka savienoto termostatu ražotājam, kas laidīs klajā produktu 2025. gada septembrī, būs jāveic pašam novērtējums vismaz atbilstoši RED prasībām (vai jāpaļaujas uz paziņoto iestādi). Vēlāk, kad CRA būs pilnībā piemērojams, tam, iespējams, būs jāveic otrs novērtējums saskaņā ar šo sistēmu, lai gan ir sagaidāma zināma konverģence: RED prasības galu galā var kļūt par CRA prasību apakškopu, atvieglojot pierādījumu un dokumentācijas atkārtotu izmantošanu.

IoT tīklu un ierīču tehniskā nostiprināšana

Papildus atbilstībai normatīvajiem aktiem, lietu interneta tīkla nostiprināšanai ir nepieciešama visaptveroša sistēmas pieeja . Tikai ierīces vai tikai mākoņa nodrošināšana nav pietiekama: jāņem vērā aparatūra, programmaparatūra, savienojamība, API, aizmugursistēma un darbības.

Galvenie tehniskie aizsardzības līdzekļi ietver praksi, kas jau ir saskaņota ar EN 18031, ETSI EN 303 645 vai NIST 8259 prasībām:

• Droša palaišana un programmaparatūras validācija: novērst neatļauta koda izpildi ierīces startēšanas laikā, pārbaudīt kriptogrāfiskos parakstus un nodrošināt programmaparatūras integritāti.
• Saskarņu sacietēšanaAtspējojiet nevajadzīgās pieslēgvietas un pakalpojumus, segmentējiet tīklus un aizsargājiet pārvaldības saskarnes ar spēcīgu autentifikāciju un, ja iespējams, ierobežotu piekļuvi.
• Saziņas šifrēšanaizmantot modernus protokolus, piemēram, TLS 1.2+ vai 1.3, visai datu plūsmai, tostarp telemetrijai, vadības komandām un pārvaldības kanāliem.
• Stabila akreditācijas datu pārvaldība: noņemt noklusējuma akreditācijas datus, piespiest veikt izmaiņas pirmajā lietošanas reizē, ieviest spēcīgas paroles politikas un, ja nepieciešams, iekļaut daudzfaktoru autentifikācijas mehānismus.
• Automātiski un droši atjauninājumi: izveidot OTA (Over-the-Air) atjaunināšanas procesus ar kriptogrāfisku verifikāciju, šifrētiem kanāliem un atcelšanas iespēju kļūmes gadījumā.
• API drošība: autentificēt un autorizēt visus trešo pušu zvanus, ierobežot atļaujas, izmantojot mazāko privilēģiju principus, un auditēt piekļuvi galvenajiem resursiem.
• Uzvedības uzraudzība un analītikaIzmantojiet anomāliju noteikšanas risinājumus, ko bieži nodrošina mākslīgais intelekts, lai identificētu neparastu ierīču darbību, datplūsmas pārpildīšanu vai tipiskus ļaunprogrammatūras modeļus.
• Piegādes ķēdes drošība: pārbaudīt aparatūras un programmatūras komponentu izcelsmi, veikt programmaparatūras analīzi un pieprasīt no piegādātājiem drošības garantijas.

Vienlaikus privātumam ir jābūt integrētam jau sākotnēji . Tas ietver ne tikai datu šifrēšanu, bet arī apkopotās informācijas apjoma samazināšanu, skaidru lietotāja iestatījumu nodrošināšanu, nevajadzīgas izsekošanas novēršanu un datu apstrādes saskaņošanu ar GDPR principiem gan pēc noklusējuma, gan pēc noklusējuma.

Praktiska atbilstība RED prasībām: galvenie procesi un aģenti

Ražotājiem atbilstība RID un Deleģētajai regulai 2022/30 nav tikai inženiertehnisks jautājums , bet arī procesu un pārvaldības jautājums. Ieteicams izveidot skaidru karti ar visiem skartajiem produktiem, to arhitektūru, datiem, ko tie apstrādā, un maksājumu vai monetizācijas funkcijām, kas var aktivizēt 3. panta 3. punkta f) apakšpunkta prasības.

Daudzos gadījumos pašnovērtējumu var veikt , ja vien produkts ir izstrādāts saskaņā ar saskaņotajiem standartiem un tiek uzturēta stabila tehniskā dokumentācija. Tomēr sarežģītos gadījumos vai gadījumos, kad standarts pilnībā neaptver lietošanas gadījumu, pilnvarotās iestādes izmantošana nodrošina juridisko un tehnisko noteiktību.

Kamēr nozare gaida saskaņotu standartu un CRA novērtēšanas shēmu nobriešanu, ir radušās tādas iniciatīvas kā PSA Certified , kas piedāvā sertifikācijas sistēmas, kas saskaņotas ar jaunākajiem noteikumiem (RED, CRA un Apvienotās Karalistes PSTI). Piemēram, PSA Certified 1. līmenī ir iekļauta īpaša normatīvo aktu sadaļa, kurā ražotāji var dokumentēt savu atbilstību normatīvajām prasībām un iesniegt šo dokumentāciju neatkarīgai pārskatīšanai.

Šāda veida shēmas, kas ir saskaņotas ar globālo labāko praksi, piemēram, EN 303 645 un NIST 8259 , ļauj oriģinālā aprīkojuma ražotājiem (OEM), programmatūras nodrošinātājiem un mikroshēmu ražotājiem apsteigt nākotni, turpmāk integrējot gan RED, gan CRA, gan citu valstu regulējumu prasības attiecībā uz kontroli.

IoT platformas, atjauninājumi un autoparka pārvaldība

Vēl viens svarīgs IoT tīklu nostiprināšanas aspekts ir spēja centralizēti pārvaldīt lielu ierīču skaitu . Bez stabilas pārvaldības platformas ielāpu ieviešana, sertifikātu maiņa vai aizdomīgas uzvedības noteikšana plašā mērogā kļūst gandrīz neiespējama.

Šajā jomā arvien lielāku nozīmi iegūst visaptveroši lietu interneta (IoT) risinājumi, kas apvieno datu orķestrēšanu, ierīču pārvaldību, bezvadu (OTA) atjauninājumus un mākslīgā intelekta iespējas lēmumu pieņemšanai. Tādas funkcijas kā savstarpēja SSL autentifikācija, periodiska sertifikātu rotācija un droši programmaparatūras atjauninājumi stiprina gan galapunktu, gan tīklu.

Dažas platformas integrē arī lietu internetam (IoT) paredzētus kiberdrošības rīkus, tostarp izpildlaika drošību un nepārtrauktu ievainojamību analīzi . Tas atvieglo uzvedības noviržu noteikšanu izvietotajās ierīcēs, ievainojamību atklāšanu gan pirms, gan pēc ražošanas ieviešanas, kā arī prioritāšu noteikšanu mazināšanas pasākumiem.

Vienlaikus šīs platformas kalpo par pamatu uz servitizāciju balstītiem biznesa modeļiem : datu monetizācijai, abonēšanas modeļiem, uzlabotiem uz mākslīgo intelektu/mašīnmācīšanos balstītiem pakalpojumiem utt. Tādējādi centieni, kas ieguldīti RED atbilstībā un uzlabotā drošībā, ne tikai samazina risku, bet arī paver durvis jaunām ieņēmumu plūsmām un pievienotās vērtības piedāvājumiem.

Visa šī pieeja, ja tā ir pārdomāti izstrādāta, apliecina ražotāju un tehnoloģiju piegādātāju skaidru apņemšanos ievērot drošību un regulējumu , ko arvien vairāk novērtē gan gala lietotāji, gan regulatori.

Nozīmīgu lomu spēlē arī testēšanas, sertifikācijas un atbilstības novērtēšanas pakalpojumu uzņēmumi , kas piedāvā tehniskos auditus, laboratorijas testus un pat specializētas apmācības par RED, CRA un citiem noteikumiem. Izmantojot to pieredzi, organizācijas, kas pirmo reizi saskaras ar šo regulējumu, var ievērojami paātrināt mācīšanās līkni.

Īsāk sakot, lietu interneta tīklu nostiprināšana RED un nākotnes CRA ietvaros prasa pārdomāt savienoto produktu dizainu, stiprināt drošas izstrādes, uzraudzības un atjaunināšanas procesus, kā arī rūpīgi izprast, kā katra ierīce iederas Eiropas noteikumu labirintā. Tie, kas ātrāk uzņemsies šo izaicinājumu, būs labākā pozīcijā, lai samazinātu riskus, izvairītos no sodiem un vienlaikus izmantotu iespēju atšķirties ar drošību, uzticēšanos un kvalitāti arvien pieprasītākajā lietu interneta tirgū.