Herding av IoT-nettverk og samsvar med RED-direktivet

Informatec Digital » Ressurser » Herding av IoT-nettverk og samsvar med RED-direktivet

Eksplosjonen av IoT- og radioenheter i hjem, fabrikker, energi, helsevesen og transport har fullstendig endret måten vi kobler oss til på … og også angrepsflaten som er tilgjengelig for nettkriminelle. Hver smartmåler, hver bærbar enhet og hver industriell sensor er i praksis et potensielt inngangspunkt til nettverket hvis det ikke er designet med sikkerhet i tankene fra starten av.

I denne sammenhengen har det å styrke IoT-nettverk under radioutstyrsdirektivet (RED) og den kommende cyberrobusthetsloven (CRA) blitt et kritisk problem for produsenter, integratorer, operatører og alle selskaper som selger tilkoblede produkter i EU. Det handler ikke bare om å «overholde papirarbeidet»: de nye juridiske forpliktelsene stiller svært spesifikke krav til cybersikkerhet, personvern og svindelbeskyttelse som påvirker utformingen av maskinvare, fastvare, programvare, tilkoblingsmuligheter og skytjenester.

Europeisk juridisk rammeverk: hvorfor RED og CRA forandrer alt

I løpet av det siste tiåret har tingenes internett ekspandert takket være teknologier som Wi-Fi, Bluetooth og NFC, som har forvandlet utallige produkter til radioenheter som er i stand til å kommunisere med hverandre og med skyen. Innen cybersikkerhet regnes imidlertid disse enhetene som et av de svakeste punktene: mange smarthjemløsninger mangler fortsatt minimal beskyttelse, og i industri- og produksjonsmiljøer er det fortsatt enorme hull i både IT- og OT-sikkerhet.

Den økonomiske konsekvensen av denne situasjonen er brutal: de globale kostnadene for nettkriminalitet var rundt 5,5 billioner euro i 2020 ifølge EU-rådet, og nyere studier som den fra Trend Micro indikerer at nesten 90 % av tyske energi-, olje- og gass- eller produksjonsselskaper ble utsatt for nettangrep på bare 12 måneder, med gjennomsnittlige skader på nesten 3 millioner euro per selskap.

I mellomtiden har fremveksten av kroppsnære enheter og datadrevne, AI-drevne forretningsmodeller ytterligere understreket viktigheten av å beskytte personopplysninger. Forordninger som GDPR (forordning (EU) 2016/679) eller det tidligere R&TTE-direktivet 1999/5/EF har ikke dekket de typene trusler som tilkoblede enheter står overfor, spesielt når det gjelder avanserte cyberangrep, nettsvindel og tjenestemanipulasjon.

Som svar har EU styrket radioutstyrsdirektivet (RED) 2014/53/EU , som har vært i kraft siden 2016, og som erstattet R&TTE. RED regulerte allerede elektromagnetisk kompatibilitet, elektrisk sikkerhet og effektiv bruk av radiospekteret; nå inkluderer det også overordnede cybersikkerhetsforpliktelser som påvirker mesteparten av tilkoblet radioutstyr, inkludert mange IoT-enheter.

Delegert forordning (EU) 2022/30 og artikkel 3(3)(d)–(f) i RED

Det virkelige vendepunktet kom med delegert forordning (EU) 2022/30 , vedtatt 29. oktober 2021. Denne forordningen «aktiverer» artikkel 3(3)(d), (e) og (f) i NET, som definerer hvilke kategorier av radioutstyr som må overholde de nye kravene til cybersikkerhet, personvern og beskyttelse mot svindel.

Standarden fokuserer på flere spesielt sensitive produktfamilier, inkludert en stor del av forbruker- og profesjonelle IoT-økosystemer :

• Internett-tilkoblet radioutstyrEnhver enhet som kan kommunisere med nettverket, direkte eller indirekte. Dette inkluderer smarttelefoner, nettbrett, rutere, IoT-enheter for hjemmet, tilkoblede industrielle sensorer osv.
• Radioutstyr for barnehagerProdukter som er utelukkende utviklet for å overvåke eller hjelpe til med omsorgen for mindreårige, for eksempel tilkoblede babymonitorer.
• Radioutstyr som omfattes av leketøyssikkerhetsdirektivet 2009/48/EFLeker med radiofunksjoner som kan ta opp, lagre eller dele informasjon, samhandle med brukere (spesielt barn) eller som har integrerte mikrofoner, høyttalere eller sensorer.
• Bærbare radioenheteralt som er designet for å bæres på eller over klær, for eksempel smartklokker, aktivitetsmålere, headset, hodetelefoner eller smartbriller.

Det er viktig å merke seg at visse kategorier er unntatt fra denne forordningen fordi de allerede har sitt eget spesifikke rammeverk: medisinsk utstyr (forordning (EU) 2017/745 og 2017/746), utstyr for sivil luftfart, elektroniske bompengesystemer og annet utstyr regulert av ulik sektorlovgivning og unntatt fra virkeområdet til RED.

Opprinnelig skulle disse nye forpliktelsene gjelde fra 1. august 2024, men EU-kommisjonen bestemte seg for å utsette datoen med ett år for å gi bransjen tid. Den nye obligatoriske fristen for samsvar med delegert forordning (EU) 2022/30 er 1. august 2025. Produsenter, distributører og OEM-er som integrerer radiomoduler bør bruke denne tiden til å justere design, sikre utviklingsprosesser og samsvarsdokumentasjon.

Krav til cybersikkerhet, personvern og antisvindel i nettverket

Artikkel 3(3)(d), (e) og (f) i RED inneholder kjernen i de nye sikkerhetskravene, som er utformet for å redusere risikoen knyttet til tilkobling av radioutstyr, spesielt IoT-enheter.

Artikkel 3(3)(d) omhandler alt internettilkoblet radioutstyr og krever at det er utformet slik at det ikke skader nettverket eller dets funksjoner, misbruker nettverksressurser eller forringer tjenesten på en uakseptabel måte . I praksis innebærer dette tiltak for å forhindre at en kompromittert enhet setter ned en tjeneste, iverksetter et DDoS-angrep eller forstyrrer tilgjengeligheten til kritiske nettverk.

Artikkel 3(3)(e) fokuserer på beskyttelse av personopplysninger og brukeres og abonnenters personvern. Den krever at radioutstyr som behandler personopplysninger skal ha sikkerhetstiltak for å forhindre uautorisert tilgang eller feilaktig overføring av informasjon, for eksempel gjennom robuste tilgangskontroller, kryptering av data under overføring og i lagring, og prinsipper for innbygget personvern og dataminimering.

Artikkel 3(3)(f) innfører spesifikke krav til enheter som behandler virtuell valuta eller pengeverdier , det vil si de som er involvert i digitale betalinger, elektroniske lommebøker eller lignende operasjoner. Disse enhetene må ha forbedrede svindelkontroller, for eksempel sterke brukerautentiseringsmekanismer, integritetskontroller for transaksjoner og deteksjon av mistenkelig aktivitet.

Videre tar artikkel 4 i RED for seg et sentralt punkt for IoT-økosystemet : kombinasjonen av radioutstyr og programvare. Produsenter er pålagt å gi informasjon om samsvaret til de tiltenkte maskinvare- og programvarekombinasjonene, og sikre at produktet fortsatt oppfyller de grunnleggende kravene i direktivet etter en programvareoppdatering eller modifisering.

Anvendelsesområde: hva som regnes som radioutstyr

For å forstå nøyaktig hva som er inkludert i disse forpliktelsene, må vi gå tilbake til direktivets egen definisjon. I henhold til artikkel 2(1) i RED defineres radioutstyr som ethvert elektrisk eller elektronisk produkt som sender og/eller mottar radiobølger for radiokommunikasjon eller radionavigasjon, eller som krever tilbehør (som en antenne) for å gjøre det.

Denne definisjonen er kvalifisert av unntakene i artikkel 1(2), 1(3) og vedlegg I , som ekskluderer visse spesifikt regulerte utstyrstyper. Videre legger delegert forordning 2022/30 til vilkåret om at enheten må kunne kobles til internett for at nettsikkerhetskravene i artikkel 3(3)(d)–(f) skal gjelde.

I praksis vil de fleste produkter med IoT-funksjoner og trådløs tilkobling som markedsføres i EU, havne under REDs radar: fra en tilkoblet termostat til en industriell kontroller med en mobilmodul, inkludert bærbare enheter, hjemmerutere, smarte høyttalere eller smarte bygningsløsninger.

Harmoniserte standarder EN 18031: den tekniske veikarten

For å gjøre det enklere for produsenter å demonstrere samsvar, ga Europakommisjonen CEN og CENELEC i oppgave å utvikle tekniske standarder som omsetter juridiske krav til konkrete kontroller og tester. Dette arbeidet resulterte i de harmoniserte standardene i EN 18031-serien.

Siden 28. januar 2025 har tre EN 18031-standarder blitt harmonisert under RED , noe som gir en relativt klar vei for vurdering av cybersikkerhet:

• EN-18031 1definerer grunnleggende krav til cybersikkerhet for radioutstyr, inkludert autentisering, kryptering, administrasjon av påloggingsinformasjon, sikre oppstartsmekanismer og prosesser for fastvareoppdatering.
• EN-18031 2Den fokuserer på personverntiltak for team som håndterer personopplysninger eller lokasjonsdata, med tiltak for dataminimering, brukerkontroll og beskyttelse mot lekkasjer.
• EN-18031 3Den tar for seg sikkerheten til enheter involvert i digitale betalinger og virtuelle penger, og styrker transaksjonsintegriteten og beskyttelsen mot svindel.

Likevel er det ikke nok å bare «krysse av i boksen» for å overholde standarden . Enkelte klausuler i disse standardene har begrensninger og dekker ikke alle scenarier. For eksempel kan produkter som tillater bruk uten obligatorisk passord, mangler tilstrekkelig foreldrekontroll eller tilbyr valgfrie sikkerhetsinnstillinger kreve ytterligere tiltak eller en grundigere evaluering.

I slike tilfeller anbefales det å involvere et teknisk kontrollorgan . Disse organene, utpekt av medlemsstatene, er ansvarlige for å utføre samsvarsvurderinger når en uavhengig tredjepart er påkrevd. Kommisjonen fører en offisiell liste over tekniske kontrollorganer, og samarbeid med et av dem bidrar til å sikre at produktet oppfyller alle de spesifikke kravene, selv når direkte anvendelse av harmoniserte standarder ikke er tilstrekkelig.

RED og loven om cyberrobusthet: overlappinger og tidslinje

Cyber ​​Resilience Act (CRA) legger til et nytt regulatorisk lag i det europeiske økosystemet for cybersikkerhet. Omfanget er enda bredere enn RED Act, ettersom den gjelder for så å si alle «produkter med digitale elementer»: brikker, programvare, enheter, applikasjoner osv., og dekker hele livssyklusen, fra design til oppdateringer og sårbarhetshåndtering.

CRA fastsetter grunnleggende krav som forpliktelsen til å tilby sikkerhetsoppdateringer i flere år (utkast nevnte fem år som referanse), samt spesifikke forpliktelser for sårbarhetshåndtering, ansvarlig offentliggjøring, brukerinformasjon og hendelsesrapportering. Produktene er gruppert i kategorier med ulike samsvarsordninger: egenvurdering for ikke-kritiske produkter, tredjepartsvurdering eller anvendelse av standarder for kritisk klasse I, og vurdering av et nasjonalt organ for kritisk klasse II.

Til dags dato har CRA allerede oppnådd politisk enighet i europeiske institusjoner , selv om hovedkravene ikke vil bli anvendt før omtrent tre år etter at de trer i kraft. Forpliktelsene til å rapportere sårbarheter og cyberhendelser kan imidlertid tre i kraft før utgangen av 2025, noe som vil tvinge mange selskaper til å styrke sine hendelsesresponsprosesser.

Det er en klar overlapping mellom RED og CRA: mesteparten av radioutstyr er også produkter med digitale komponenter . Videre innlemmer CRA de samme målene for nettsikkerhet som artikkel 3(3)(d)–(f) i RED. Hovedpunktet er imidlertid tidslinjen: forpliktelsene i henhold til RED og den delegerte forordningen vil tre i kraft 1. august 2025, mens mesteparten av CRA vil tre i kraft noe senere.

I praksis betyr dette at en produsent av tilkoblede termostater som lanserer et produkt i september 2025, må foreta en egenvurdering mot minst RED-kravene (eller benytte seg av et teknisk kontrollorgan). Senere, når CRA-en er fullt anvendelig, må de kanskje utføre en ny vurdering under dette rammeverket, selv om det forventes en viss konvergens: RED-kravene kan etter hvert bli en delmengde av CRA-kravene, noe som legger til rette for gjenbruk av bevis og dokumentasjon.

Teknisk herding av IoT-nettverk og -enheter

Utover samsvar med regelverk krever det en omfattende systemtilnærming å sikre et IoT-nettverk . Det er ikke tilstrekkelig å bare sikre enheten eller bare skyen: maskinvare, fastvare, tilkobling, API-er, backend og drift må alle vurderes.

Viktige tekniske forsvarsmekanismer inkluderer praksiser som allerede er i samsvar med kravene i EN 18031, ETSI EN 303 645 eller NIST 8259:

• Sikker oppstart og fastvarevalideringforhindrer utføring av uautorisert kode ved oppstart av enheten, verifiserer kryptografiske signaturer og sikrer fastvareintegritet.
• Herding av grensesnittDeaktiver unødvendige porter og tjenester, segmenter nettverk og beskytt administrasjonsgrensesnitt med sterk autentisering og, der det er mulig, begrenset tilgang.
• KommunikasjonskrypteringBruk moderne protokoller som TLS 1.2+ eller 1.3 for all datatrafikk, inkludert telemetri, kontrollkommandoer og administrasjonskanaler.
• Robust legitimasjonshåndteringFjern standardlegitimasjon, tving frem endringen ved første gangs bruk, håndhev sterke passordregler og integrer, der det er hensiktsmessig, mekanismer for flerfaktorautentisering.
• Automatiske og sikre oppdateringerEtabler OTA (Over-the-Air) oppdateringsprosesser med kryptografisk verifisering, krypterte kanaler og tilbakerullingsfunksjon ved feil.
• API-sikkerhetautentisere og autorisere alle tredjepartskall, begrense tillatelser ved hjelp av prinsipper om minste privilegium og revidere tilgang til viktige ressurser.
• Atferdsovervåking og -analyseBruk løsninger for avviksdeteksjon, ofte drevet av AI, for å identifisere uvanlig enhetsatferd, trafikkoverløp eller typiske mønstre for skadelig programvare.
• Sikkerhet i forsyningskjedenverifisere opprinnelsen til maskinvare- og programvarekomponenter, utføre fastvareanalyse og kreve sikkerhetsgarantier fra leverandører.

Parallelt må personvern integreres naturlig . Dette innebærer ikke bare å kryptere data, men også å minimere informasjonen som samles inn, tilby tydelige brukerinnstillinger, unngå unødvendig sporing og tilpasse databehandling til GDPR-prinsippene, både som standard og som standard.

Praktisk samsvar med RED: viktige prosesser og agenter

For produsenter er det å overholde RED og delegert forordning 2022/30 ikke bare et teknisk spørsmål , men også et spørsmål om prosesser og styring. Det er tilrådelig å ha en tydelig kartlegging av alle berørte produkter, deres arkitektur, dataene de håndterer og betalings- eller monetiseringsfunksjonene som kan utløse kravene i artikkel 3(3)(f).

I mange tilfeller kan selvvurdering utføres , forutsatt at produktet er designet i samsvar med harmoniserte standarder og robust teknisk dokumentasjon vedlikeholdes. For komplekse scenarier eller når standarden ikke dekker brukstilfellet fullt ut, gir bruk av et teknisk kontrollorgan imidlertid juridisk og teknisk sikkerhet.

Mens bransjen venter på modningen av harmoniserte standarder og vurderingsordninger for CRA-er, har det dukket opp initiativer som PSA Certified , som tilbyr sertifiseringsrammeverk i samsvar med nye forskrifter (RED, CRA og Storbritannias PSTI). PSA Certified Level 1 inkluderer for eksempel en egen regulatorisk del der produsenter kan dokumentere at de overholder regulatoriske krav og sende inn denne dokumentasjonen for uavhengig gjennomgang.

Denne typen ordninger, i samsvar med globale beste praksiser som EN 303 645 og NIST 8259 , lar OEM-er, programvareleverandører og brikkeprodusenter ligge i forkant av fremtiden, og integrerer fra nå av kontrollene som kreves av både RED og CRA og andre nasjonale rammeverk.

IoT-plattformer, oppdateringer og flåtestyring

Et annet viktig aspekt ved å styrke IoT-nettverk er muligheten til å sentralt administrere store enhetsflåter . Uten en robust administrasjonsplattform blir det nesten umulig å bruke oppdateringer, rotere sertifikater eller oppdage mistenkelig atferd i stor skala.

Innen dette området blir omfattende IoT-løsninger som kombinerer dataorkestrering, enhetsadministrasjon, OTA-oppdateringer (over-the-air) og AI-funksjoner for beslutningstaking stadig viktigere. Funksjoner som gjensidig SSL-autentisering, periodisk sertifikatrotasjon og sikre fastvareoppdateringer styrker både endepunktet og nettverket.

Noen plattformer integrerer også IoT-spesifikke cybersikkerhetsverktøy, inkludert runtime-sikkerhet og kontinuerlig sårbarhetsanalyse . Dette gjør det enklere å oppdage atferdsavvik i distribuerte enheter, oppdage sårbarheter både før og etter produksjonsdistribusjon og prioritere tiltak for å redusere risikoen.

Parallelt fungerer disse plattformene som grunnlag for tjenestebaserte forretningsmodeller : datamonetisering, abonnementsmodeller, avanserte AI/ML-baserte tjenester, osv. Dermed reduserer innsatsen som investeres i RED-samsvar og forbedret sikkerhet ikke bare risikoen, men åpner også døren for nye inntektsstrømmer og verdiskapende tilbud.

Hele denne tilnærmingen, når den er gjennomtenkt utformet, viser en klar forpliktelse til sikkerhet og regulering fra produsenters og teknologileverandørers side, noe som i økende grad verdsettes av både sluttkunder og regulatorer.

Selskaper som tilbyr testing, sertifisering og samsvarsvurderingstjenester spiller også en betydelig rolle, og tilbyr tekniske revisjoner, laboratorietesting og til og med spesialisert opplæring i RED, CRA og andre forskrifter. Å utnytte deres ekspertise kan i stor grad akselerere læringskurven for organisasjoner som står overfor dette regelverket for første gang.

Kort sagt krever en herding av IoT-nettverk innenfor rammen av RED og den fremtidige CRA en nytenkning av utformingen av tilkoblede produkter, styrking av sikre utviklings-, overvåkings- og oppdateringsprosesser, og en grundig forståelse av hvordan hver enhet passer inn i labyrinten av europeiske regelverk. De som tar fatt på denne utfordringen tidligere, vil være bedre posisjonert til å redusere risiko, unngå straffer og samtidig gripe muligheten til å differensiere seg gjennom sikkerhet, tillit og kvalitet i et stadig mer krevende IoT-marked.