Wzmocnienie sieci IoT i zgodność z dyrektywą RED

Informatec Digital » Zasoby » Wzmocnienie sieci IoT i zgodność z dyrektywą RED

Eksplozja Internetu Rzeczy (IoT) i urządzeń radiowych w domach, fabrykach, sektorze energetycznym, opieki zdrowotnej i transporcie całkowicie zmieniła sposób, w jaki się komunikujemy… a także powierzchnię ataku dostępną dla cyberprzestępców. Każdy inteligentny licznik, każde urządzenie noszone na ciele i każdy czujnik przemysłowy jest w praktyce potencjalnym punktem wejścia do sieci, jeśli nie został zaprojektowany z myślą o bezpieczeństwie od samego początku.

W tym kontekście wzmocnienie sieci IoT zgodnie z dyrektywą w sprawie urządzeń radiowych (RED) i nadchodzącą ustawą o cyberodporności (CRA) stało się kwestią kluczową dla producentów, integratorów, operatorów i każdej firmy sprzedającej produkty sieciowe w Unii Europejskiej. Nie chodzi tylko o „dopełnienie formalności”: nowe obowiązki prawne nakładają bardzo szczegółowe wymogi dotyczące cyberbezpieczeństwa, prywatności i ochrony przed oszustwami, które wpływają na projektowanie sprzętu, oprogramowania sprzętowego, oprogramowania, łączności i usług w chmurze.

Europejskie ramy prawne: dlaczego RED i CRA zmieniają wszystko

W ciągu ostatniej dekady IoT (Internet Rzeczy) rozwinął się dzięki technologiom takim jak Wi-Fi, Bluetooth i NFC, które przekształciły niezliczone produkty w urządzenia radiowe zdolne do komunikacji między sobą oraz z chmurą. Jednak w cyberbezpieczeństwie urządzenia te są uważane za jeden z najsłabszych punktów: wiele rozwiązań inteligentnego domu nadal nie zapewnia nawet minimalnej ochrony, a w środowiskach przemysłowych i produkcyjnych nadal występują ogromne luki w zabezpieczeniach zarówno IT, jak i OT.

Ekonomiczne skutki tej sytuacji są drastyczne: według Rady UE globalny koszt cyberprzestępczości w 2020 r. wyniósł około 5,5 biliona euro , a najnowsze badania, takie jak to przeprowadzone przez Trend Micro, wskazują, że prawie 90% niemieckich przedsiębiorstw energetycznych, naftowych i gazowych lub produkcyjnych padło ofiarą cyberataków w ciągu zaledwie 12 miesięcy, a średnie straty wyniosły prawie 3 miliony euro na firmę.

Tymczasem rozwój urządzeń noszonych oraz modeli biznesowych opartych na danych i sztucznej inteligencji dodatkowo uwypuklił znaczenie ochrony danych osobowych. Przepisy takie jak RODO (Rozporządzenie (UE) 2016/679) czy dawna dyrektywa 1999/5/WE w sprawie urządzeń radiowych i końcowych urządzeń telekomunikacyjnych (R&TTE) nie obejmują w wystarczającym stopniu zagrożeń, z jakimi obecnie borykają się urządzenia podłączone do sieci, zwłaszcza w zakresie zaawansowanych cyberataków, oszustw internetowych i manipulacji usługami.

W odpowiedzi Unia Europejska zaostrzyła dyrektywę w sprawie urządzeń radiowych (RED) 2014/53/UE , obowiązującą od 2016 r., która zastąpiła dyrektywę R&TTE. RED regulowała już kwestie kompatybilności elektromagnetycznej, bezpieczeństwa elektrycznego i efektywnego wykorzystania widma radiowego; teraz obejmuje ona również wysokie wymogi dotyczące cyberbezpieczeństwa, które dotyczą większości podłączonych urządzeń radiowych, w tym wielu urządzeń IoT.

Rozporządzenie delegowane (UE) 2022/30 i artykuły 3(3)(d)-(f) RED

Prawdziwy przełom nastąpił wraz z rozporządzeniem delegowanym (UE) 2022/30 , przyjętym 29 października 2021 r. Rozporządzenie to „aktywuje” artykuły 3(3)(d), (e) i (f) ustawy NET, definiując, które kategorie urządzeń radiowych muszą spełniać nowe wymogi dotyczące cyberbezpieczeństwa, prywatności i ochrony przed oszustwami.

Norma koncentruje się na kilku szczególnie wrażliwych rodzinach produktów, obejmujących znaczną część ekosystemu IoT dla konsumentów i profesjonalistów :

• Sprzęt radiowy podłączony do InternetuKażde urządzenie, które może komunikować się z siecią, bezpośrednio lub pośrednio. Obejmuje to smartfony, tablety, routery, domowe urządzenia IoT, podłączone czujniki przemysłowe itp.
• Sprzęt radiowy do opieki nad dziećmi:produkty przeznaczone wyłącznie do monitorowania lub wspomagania opieki nad małoletnimi, np. podłączane do sieci elektroniczne nianie.
• Urządzenia radiowe objęte dyrektywą w sprawie bezpieczeństwa zabawek 2009/48/WEZabawki z funkcjami radiowymi, umożliwiające nagrywanie, przechowywanie lub udostępnianie informacji, wchodzące w interakcję z użytkownikami (szczególnie dziećmi) lub wyposażone w mikrofony, głośniki lub czujniki.
• Urządzenia radiowe noszone na ciele:wszystko, co jest przeznaczone do noszenia na ubraniu, takie jak smartwatche, trackery aktywności, zestawy słuchawkowe, słuchawki lub inteligentne okulary.

Należy zauważyć, że niektóre kategorie są wyłączone z zakresu niniejszego rozporządzenia , ponieważ mają już własne szczegółowe ramy prawne: wyroby medyczne (rozporządzenia (UE) 2017/745 i 2017/746), sprzęt lotnictwa cywilnego, elektroniczne systemy poboru opłat i inne urządzenia regulowane różnymi przepisami sektorowymi i wyłączone z zakresu dyrektywy RED.

Początkowo nowe obowiązki miały obowiązywać od 1 sierpnia 2024 r., ale Komisja Europejska zdecydowała się przesunąć tę datę o rok, aby dać branży czas. Nowy, obowiązkowy termin zgodności z rozporządzeniem delegowanym (UE) 2022/30 to 1 sierpnia 2025 r. Producenci, dystrybutorzy i producenci OEM integrujący moduły radiowe powinni wykorzystać ten czas na dostosowanie projektów, zabezpieczenie procesów rozwoju i sporządzenie dokumentacji zgodności.

Wymagania dotyczące cyberbezpieczeństwa, prywatności i przeciwdziałania oszustwom w sieci

Artykuły 3(3)(d), (e) i (f) dyrektywy RED zawierają sedno nowych wymogów bezpieczeństwa, mających na celu ograniczenie ryzyka związanego z łącznością urządzeń radiowych, zwłaszcza urządzeń IoT.

Artykuł 3(3)(d) dotyczy wszystkich urządzeń radiowych podłączonych do internetu i wymaga, aby były one zaprojektowane w sposób, który nie będzie szkodził sieci ani jej funkcjom, nie będzie nadużywał zasobów sieciowych ani nie będzie w niedopuszczalny sposób pogarszał jakości usług . W praktyce oznacza to środki zapobiegające przerwaniu usługi przez zainfekowane urządzenie, uruchomieniu ataku DDoS lub zakłóceniu dostępności sieci krytycznych.

Artykuł 3(3)(e) koncentruje się na ochronie danych osobowych oraz prywatności użytkowników i abonentów. Wymaga on, aby urządzenia radiowe przetwarzające dane osobowe były wyposażone w zabezpieczenia zapobiegające nieautoryzowanemu dostępowi lub niewłaściwemu przekazywaniu informacji, na przykład poprzez solidne mechanizmy kontroli dostępu, szyfrowanie danych w trakcie przesyłu i przechowywania oraz zasady prywatności w fazie projektowania i minimalizacji danych.

Artykuł 3(3)(f) wprowadza szczegółowe wymagania dla urządzeń przetwarzających walutę wirtualną lub wartości pieniężne , tj. urządzeń wykorzystywanych do płatności cyfrowych, portfeli elektronicznych lub podobnych operacji. Urządzenia te muszą obejmować wzmocnione mechanizmy kontroli oszustw, takie jak silne mechanizmy uwierzytelniania użytkowników, kontrole integralności transakcji i wykrywanie podejrzanych działań.

Co więcej, artykuł 4 dyrektywy RED porusza kluczową kwestię dla ekosystemu IoT : połączenie urządzeń radiowych z oprogramowaniem. Producenci są zobowiązani do dostarczenia informacji o zgodności planowanych kombinacji sprzętu i oprogramowania, zapewniając, że po aktualizacji lub modyfikacji oprogramowania produkt nadal spełnia zasadnicze wymagania dyrektywy.

Zakres zastosowania: co uważa się za sprzęt radiowy

Aby dokładnie zrozumieć, co obejmują te obowiązki, musimy powrócić do definicji zawartej w dyrektywie. Zgodnie z artykułem 2(1) dyrektywy RED , urządzenie radiowe definiuje się jako każdy produkt elektryczny lub elektroniczny, który nadaje i/lub odbiera fale radiowe na potrzeby radiokomunikacji lub radionawigacji, lub który wymaga w tym celu akcesoriów (takich jak antena).

Definicja ta jest ograniczona wyłączeniami zawartymi w art. 1 ust. 2 i 3 oraz załączniku I , które wykluczają niektóre urządzenia objęte szczególnymi regulacjami. Ponadto rozporządzenie delegowane 2022/30 dodaje warunek, że urządzenie musi być w stanie połączyć się z internetem, aby można było zastosować wymogi dotyczące cyberbezpieczeństwa określone w art. 3 ust. 3 lit. d)–f).

W praktyce większość produktów z funkcjami IoT i łącznością bezprzewodową wprowadzanych na rynek UE zostanie objęta dyrektywą RED: od podłączonego termostatu po sterownik przemysłowy z modułem komórkowym, w tym urządzenia ubieralne, routery domowe, inteligentne głośniki i inteligentne rozwiązania dla budynków.

Normy zharmonizowane EN 18031: techniczna mapa drogowa

Aby ułatwić producentom wykazanie zgodności, Komisja Europejska zleciła CEN i CENELEC opracowanie norm technicznych, które przełożą wymagania prawne na konkretne kontrole i testy. Prace te zaowocowały powstaniem zharmonizowanych norm serii EN 18031.

Od 28 stycznia 2025 r. w ramach RED zharmonizowano trzy normy EN 18031 , co zapewnia stosunkowo jasną ścieżkę oceny cyberbezpieczeństwa:

• EN-18031 1:definiuje podstawowe wymagania dotyczące cyberbezpieczeństwa dla sprzętu radiowego, obejmujące uwierzytelnianie, szyfrowanie, zarządzanie poświadczeniami, mechanizmy bezpiecznego rozruchu i procesy aktualizacji oprogramowania sprzętowego.
• EN-18031 2Koncentruje się na zabezpieczeniach prywatności dla zespołów przetwarzających dane osobowe lub dotyczące lokalizacji, oferując środki minimalizacji danych, kontroli użytkowników i ochrony przed wyciekami.
• EN-18031 3Dotyczy ona bezpieczeństwa urządzeń wykorzystywanych do płatności cyfrowych i wirtualnych pieniędzy, wzmacniając integralność transakcji i chroniąc przed oszustwami.

Mimo to samo „zaznaczenie pola” w celu spełnienia wymogów standardu nie wystarczy . Niektóre klauzule tych standardów zawierają ograniczenia i nie obejmują wszystkich scenariuszy. Na przykład produkty, które umożliwiają obsługę bez obowiązkowego hasła, nie posiadają odpowiedniej kontroli rodzicielskiej lub oferują opcjonalne ustawienia bezpieczeństwa, mogą wymagać dodatkowych środków lub dokładniejszej oceny.

W takich przypadkach zaleca się zaangażowanie Jednostki Notyfikowanej . Jednostki te, wyznaczone przez państwa członkowskie, są odpowiedzialne za przeprowadzanie ocen zgodności, gdy wymagana jest niezależna strona trzecia. Komisja prowadzi oficjalny wykaz Jednostek Notyfikowanych, a współpraca z jedną z nich pomaga zapewnić, że produkt spełnia wszystkie szczegółowe wymagania, nawet gdy bezpośrednie zastosowanie norm zharmonizowanych jest niewystarczające.

RED i ustawa o odporności cybernetycznej: nakładanie się i harmonogram

Ustawa o odporności cybernetycznej (CRA) dodaje kolejną warstwę regulacyjną do europejskiego ekosystemu cyberbezpieczeństwa. Jej zakres jest jeszcze szerszy niż zakres ustawy RED, ponieważ dotyczy praktycznie wszystkich „produktów z elementami cyfrowymi”: chipów, oprogramowania, urządzeń, aplikacji itp., obejmując cały cykl życia, od projektu po aktualizacje i zarządzanie podatnościami.

CRA ustanawia podstawowe wymogi, takie jak obowiązek dostarczania aktualizacji zabezpieczeń przez kilka lat (projekty wspominają o pięciu latach jako punkcie odniesienia), a także szczegółowe obowiązki dotyczące zarządzania lukami w zabezpieczeniach, odpowiedzialnego ujawniania informacji, informowania użytkowników i zgłaszania incydentów. Produkty są pogrupowane w kategorie z różnymi schematami zgodności: samoocena dla produktów niekrytycznych, ocena przez stronę trzecią lub stosowanie standardów dla Klasy Krytycznej I oraz ocena przez organ krajowy dla Klasy Krytycznej II.

Do tej pory CRA osiągnęła już porozumienie polityczne w instytucjach europejskich , chociaż jej główne wymogi zaczną obowiązywać dopiero około trzy lata po jej wejściu w życie. Obowiązek zgłaszania luk w zabezpieczeniach i incydentów cybernetycznych może jednak wejść w życie przed końcem 2025 roku, co zmusi wiele firm do wzmocnienia procesów reagowania na incydenty.

Istnieje wyraźne nakładanie się między RED a CRA: większość urządzeń radiowych to również produkty z komponentami cyfrowymi . Co więcej, CRA uwzględnia te same cele w zakresie cyberbezpieczeństwa, co artykuły 3(3)(d)-(f) RED. Kluczową kwestią jest jednak harmonogram: obowiązki wynikające z RED i rozporządzenia delegowanego wejdą w życie 1 sierpnia 2025 r., podczas gdy większość CRA wejdzie w życie nieco później.

W praktyce oznacza to, że producent termostatów podłączonych do sieci, który wprowadza produkt na rynek we wrześniu 2025 r., będzie musiał dokonać samooceny przynajmniej pod kątem wymogów dyrektywy RED (lub skorzystać z pomocy jednostki notyfikowanej). Później, gdy przepisy CRA będą w pełni stosowane, może być konieczne przeprowadzenie drugiej oceny w ramach tych ram, choć oczekuje się pewnej zbieżności: wymogi dyrektywy RED mogą ostatecznie stać się podzbiorem wymogów CRA, ułatwiając ponowne wykorzystanie dowodów i dokumentacji.

Techniczne wzmocnienie sieci i urządzeń IoT

Oprócz zgodności z przepisami, wzmocnienie sieci IoT wymaga kompleksowego podejścia systemowego . Zabezpieczenie samego urządzenia lub samej chmury nie wystarczy: należy uwzględnić sprzęt, oprogramowanie układowe, łączność, interfejsy API, zaplecze i operacje.

Do najważniejszych zabezpieczeń technicznych zalicza się praktyki zgodne z wymogami norm EN 18031, ETSI EN 303 645 lub NIST 8259:

• Bezpieczny rozruch i walidacja oprogramowania sprzętowego: zapobiega wykonywaniu nieautoryzowanego kodu podczas uruchamiania urządzenia, weryfikuje podpisy kryptograficzne i zapewnia integralność oprogramowania sprzętowego.
• Utwardzanie interfejsówWyłącz niepotrzebne porty i usługi, segmentuj sieci i chroń interfejsy zarządzania za pomocą silnego uwierzytelniania oraz, gdzie to możliwe, ogranicz dostęp.
• Szyfrowanie komunikacji:stosują nowoczesne protokoły, takie jak TLS 1.2+ lub 1.3 dla całego ruchu danych, włączając telemetrię, polecenia sterujące i kanały zarządzania.
• Solidne zarządzanie uprawnieniami: usuń domyślne dane uwierzytelniające, wymuś zmianę przy pierwszym użyciu, wprowadź silne zasady dotyczące haseł i włącz, gdzie to właściwe, mechanizmy uwierzytelniania wieloskładnikowego.
• Automatyczne i bezpieczne aktualizacje: ustanowienie procesów aktualizacji OTA (Over-the-Air) z weryfikacją kryptograficzną, szyfrowanymi kanałami i możliwością wycofania w przypadku awarii.
• Bezpieczeństwo API: uwierzytelnianie i autoryzacja wszystkich połączeń stron trzecich, ograniczanie uprawnień przy użyciu zasady najmniejszych uprawnień oraz audyt dostępu do kluczowych zasobów.
• Monitorowanie i analiza zachowań:Stosuj rozwiązania do wykrywania anomalii, często oparte na sztucznej inteligencji, w celu identyfikowania nietypowych zachowań urządzeń, przeciążeń ruchu lub typowych wzorców złośliwego oprogramowania.
• Bezpieczeństwo łańcucha dostaw: weryfikujemy pochodzenie komponentów sprzętowych i programowych, przeprowadzamy analizę oprogramowania sprzętowego i żądamy gwarancji bezpieczeństwa od dostawców.

Równocześnie należy natywnie zintegrować prywatność . Obejmuje to nie tylko szyfrowanie danych, ale także minimalizację gromadzonych informacji, oferowanie przejrzystych ustawień użytkownika, unikanie niepotrzebnego śledzenia oraz dostosowanie przetwarzania danych do zasad RODO, zarówno w fazie projektowania, jak i domyślnie.

Praktyczna zgodność z RED: kluczowe procesy i agenci

Dla producentów przestrzeganie dyrektywy RED i rozporządzenia delegowanego 2022/30 to nie tylko kwestia inżynieryjna , ale także procesowa i zarządcza. Wskazane jest posiadanie przejrzystego schematu wszystkich produktów, których to dotyczy, ich architektury, przetwarzanych przez nie danych oraz funkcji płatności lub monetyzacji, które mogą powodować nałożenie wymogów art. 3 ust. 3 lit. f).

W wielu przypadkach samoocena jest możliwa , pod warunkiem że produkt został zaprojektowany zgodnie ze zharmonizowanymi normami i prowadzona jest solidna dokumentacja techniczna. Jednak w przypadku złożonych scenariuszy lub gdy norma nie obejmuje w pełni danego przypadku użycia, skorzystanie z usług jednostki notyfikowanej zapewnia pewność prawną i techniczną.

Podczas gdy branża czeka na ugruntowanie zharmonizowanych norm i systemów oceny CRA, pojawiły się inicjatywy takie jak PSA Certified , oferujące ramy certyfikacji zgodne z nowymi przepisami (RED, CRA i brytyjski PSTI). Na przykład PSA Certified Level 1 obejmuje dedykowaną sekcję regulacyjną, w której producenci mogą udokumentować zgodność z wymogami regulacyjnymi i przesłać tę dokumentację do niezależnej oceny.

Tego typu programy, zgodne ze światowymi najlepszymi praktykami, takimi jak EN 303 645 i NIST 8259 , umożliwiają producentom OEM, dostawcom oprogramowania i producentom układów scalonych wyprzedzanie przyszłości poprzez integrację od teraz kontroli wymaganych zarówno przez RED i CRA, jak i inne ramy krajowe.

Platformy IoT, aktualizacje i zarządzanie flotą

Kolejnym kluczowym aspektem wzmacniania sieci IoT jest możliwość centralnego zarządzania dużymi flotami urządzeń . Bez solidnej platformy zarządzania, wdrażanie poprawek, rotacja certyfikatów czy wykrywanie podejrzanych zachowań staje się praktycznie niemożliwe na dużą skalę.

W tym obszarze coraz większego znaczenia nabierają kompleksowe rozwiązania IoT, które łączą w sobie koordynację danych, zarządzanie urządzeniami, aktualizacje OTA (over-the-air) oraz możliwości sztucznej inteligencji w zakresie podejmowania decyzji. Funkcje takie jak wzajemne uwierzytelnianie SSL, okresowa rotacja certyfikatów i bezpieczne aktualizacje oprogramowania sprzętowego wzmacniają zarówno punkt końcowy, jak i sieć.

Niektóre platformy integrują również narzędzia cyberbezpieczeństwa specyficzne dla IoT, w tym zabezpieczenia środowiska uruchomieniowego i ciągłą analizę podatności . Ułatwia to wykrywanie odchyleń w zachowaniu wdrożonych urządzeń, wykrywanie luk w zabezpieczeniach zarówno przed, jak i po wdrożeniu produkcyjnym oraz ustalanie priorytetów działań naprawczych.

Równocześnie platformy te stanowią podstawę dla modeli biznesowych opartych na usługach : monetyzacji danych, modeli subskrypcyjnych, zaawansowanych usług opartych na sztucznej inteligencji/uczeniu maszynowym itd. W ten sposób wysiłek włożony w zapewnienie zgodności z RED i zwiększenie bezpieczeństwa nie tylko ogranicza ryzyko, ale także otwiera drzwi do nowych źródeł przychodów i ofert o wartości dodanej.

Całe to podejście, jeśli zostanie przemyślanie zaprojektowane, stanowi wyraźny dowód zaangażowania producentów i dostawców technologii w kwestie bezpieczeństwa i regulacji, co jest coraz bardziej cenione zarówno przez klientów końcowych, jak i organy regulacyjne.

Firmy świadczące usługi testowania, certyfikacji i oceny zgodności również odgrywają istotną rolę, oferując audyty techniczne, badania laboratoryjne, a nawet specjalistyczne szkolenia z zakresu RED, CRA i innych przepisów. Wykorzystanie ich wiedzy specjalistycznej może znacznie przyspieszyć proces uczenia się organizacji, które po raz pierwszy stykają się z tymi ramami regulacyjnymi.

Krótko mówiąc, wzmocnienie sieci IoT w ramach RED i przyszłego CRA wymaga ponownego przemyślenia projektu produktów podłączonych do sieci, wzmocnienia bezpiecznych procesów rozwoju, monitorowania i aktualizacji oraz dogłębnego zrozumienia, jak każde urządzenie wpisuje się w labirynt europejskich przepisów. Ci, którzy podejmą to wyzwanie wcześniej, będą lepiej przygotowani do ograniczenia ryzyka, uniknięcia kar, a jednocześnie wykorzystają szansę na wyróżnienie się poprzez bezpieczeństwo, zaufanie i jakość na coraz bardziej wymagającym rynku IoT.