- Новые требования Директивы RED и Делегированного регламента 2022/30 обязывают усилить кибербезопасность, защиту конфиденциальности и противодействие мошенничеству в большинстве устройств Интернета вещей, подключенных к Интернету.
- Гармонизированные стандарты EN 18031-1, -2 и -3 устанавливают техническую основу для соответствия требованиям, но во многих случаях необходимо пойти дальше и обратиться к уполномоченным органам и использовать дополнительные передовые методы.
- Предстоящий Закон о киберустойчивости расширит и частично перекроет некоторые из этих требований, поэтому крайне важно уже сейчас интегрировать процессы повышения безопасности, управления уязвимостями и безопасных обновлений на протяжении всего жизненного цикла продукта.
Взрывной рост использования устройств Интернета вещей и радиосвязи в домах, на заводах, в энергетике, здравоохранении и транспорте полностью изменил способы нашего взаимодействия… а также поверхность атаки, доступную киберпреступникам. Каждый интеллектуальный счетчик, каждое носимое устройство и каждый промышленный датчик на практике являются потенциальной точкой входа в сеть, если они не были разработаны с учетом требований безопасности с самого начала.
В этом контексте усиление защиты сетей IoT в соответствии с Директивой о радиооборудовании (RED) и готовящимся к принятию Законом о киберустойчивости (CRA) стало критически важным вопросом для производителей, интеграторов, операторов и любой компании, продающей подключенные продукты в Европейском Союзе. Речь идет не просто о «соблюдении требований к документации»: новые правовые обязательства налагают очень специфические требования к кибербезопасности, конфиденциальности и защите от мошенничества, которые влияют на проектирование аппаратного обеспечения, микропрограммного обеспечения, программного обеспечения, средств связи и облачных сервисов.
Европейская правовая система: почему RED и CRA меняют всё
За последнее десятилетие Интернет вещей значительно расширился благодаря таким технологиям, как Wi-Fi, Bluetooth и NFC, которые превратили бесчисленное множество продуктов в радиоустройства, способные обмениваться данными друг с другом и с облаком. Однако в сфере кибербезопасности эти устройства считаются одним из самых слабых мест: многие решения для умного дома до сих пор не имеют даже минимальной защиты, а в промышленных и производственных средах сохраняются огромные пробелы как в ИТ, так и в ОТ-безопасности.
Экономические последствия этой ситуации ужасающи: по данным Совета ЕС, глобальные потери от киберпреступлений в 2020 году составили около 5,5 триллионов евро , а недавние исследования, такие как исследование Trend Micro, показывают, что почти 90% немецких компаний энергетического, нефтегазового или производственного секторов пострадали от кибератак всего за 12 месяцев, при этом средний ущерб составил почти 3 миллиона евро на компанию.
Между тем, развитие носимых устройств и бизнес-моделей, основанных на данных и искусственном интеллекте, еще больше подчеркнуло важность защиты личной информации. Такие нормативные акты, как GDPR (Регламент (ЕС) 2016/679) или бывшая Директива R&TTE 1999/5/EC, не в полной мере охватывают все виды угроз, с которыми в настоящее время сталкиваются подключенные устройства, особенно в отношении сложных кибератак, онлайн-мошенничества и манипулирования услугами.
В ответ на это Европейский союз ужесточил Директиву о радиооборудовании (RED) 2014/53/EU , действующую с 2016 года и заменившую R&TTE. RED уже регулировала электромагнитную совместимость, электробезопасность и эффективное использование радиочастотного спектра; теперь она также включает в себя обязательства высокого уровня в области кибербезопасности, которые затрагивают большинство подключенного радиооборудования, включая многие устройства Интернета вещей (IoT).
Делегированный регламент (ЕС) 2022/30 и статьи 3(3)(d)-(f) КРАСНЫЙ
Настоящий поворотный момент наступил с принятием Делегированного регламента (ЕС) 2022/30 от 29 октября 2021 года. Этот регламент «активирует» статьи 3(3)(d), (e) и (f) NET, определяющие, какие категории радиооборудования должны соответствовать новым требованиям кибербезопасности, конфиденциальности и защиты от мошенничества.
Стандарт ориентирован на несколько особо чувствительных групп продуктов, включая значительную часть потребительской и профессиональной экосистемы Интернета вещей :
- Радиооборудование, подключенное к интернетуЛюбое устройство, способное напрямую или косвенно взаимодействовать с сетью. Сюда входят смартфоны, планшеты, маршрутизаторы, домашние IoT-устройства, подключенные промышленные датчики и т. д.
- Радиооборудование для ухода за детьми: продукция, предназначенная исключительно для наблюдения за несовершеннолетними или оказания им помощи, например, подключенные к интернету детские видеоняни.
- Радиооборудование, подпадающее под действие Директивы 2009/48/EC о безопасности игрушек.Игрушки с радиофункциями, способные записывать, хранить или передавать информацию, взаимодействовать с пользователями (особенно с детьми) или включающие микрофоны, динамики или датчики.
- Носимые радиоустройства: все, что предназначено для ношения поверх одежды, например, умные часы, фитнес-трекеры, гарнитуры, наушники или умные очки.
Важно отметить, что некоторые категории исключены из действия данного регламента , поскольку для них уже существует своя собственная специфическая нормативно-правовая база: медицинские изделия (Регламенты (ЕС) 2017/745 и 2017/746), оборудование для гражданской авиации, электронные системы взимания платы за проезд и другие устройства, регулируемые различными отраслевыми законами и исключенные из сферы действия RED.
Первоначально эти новые обязательства должны были вступить в силу с 1 августа 2024 года, но Европейская комиссия решила отложить эту дату на один год, чтобы дать отрасли время. Новый обязательный срок соблюдения Делегированного регламента (ЕС) 2022/30 — 1 августа 2025 года. Производители, дистрибьюторы и OEM-производители, интегрирующие радиомодули, должны использовать это время для корректировки конструкции, обеспечения безопасности процессов разработки и подготовки документации по соответствию.
Требования к кибербезопасности, конфиденциальности и борьбе с мошенничеством в сети.
Статьи 3(3)(d), (e) и (f) Директивы о радиоэлектронной борьбе содержат основную часть новых требований безопасности, призванных снизить риски, связанные с подключением радиооборудования, особенно устройств Интернета вещей.
Статья 3(3)(d) касается всего радиооборудования, подключенного к интернету, и требует, чтобы оно было спроектировано таким образом, чтобы не наносить вред сети или ее функциям, не злоупотреблять сетевыми ресурсами и недопустимо ухудшать качество обслуживания . На практике это подразумевает меры по предотвращению сбоев в работе сервиса, запуска DDoS-атаки или вмешательства в доступность критически важных сетей со стороны скомпрометированного устройства.
Статья 3(3)(e) посвящена защите персональных данных и конфиденциальности пользователей и абонентов. Она требует, чтобы радиооборудование, обрабатывающее персональные данные, включало в себя меры защиты от несанкционированного доступа или ненадлежащей передачи информации, например, посредством надежного контроля доступа, шифрования данных при передаче и хранении, а также принципов обеспечения конфиденциальности на этапе проектирования и минимизации данных.
Статья 3(3)(f) устанавливает конкретные требования к устройствам, обрабатывающим виртуальную валюту или денежные средства , то есть к тем, которые участвуют в цифровых платежах, электронных кошельках или аналогичных операциях. Эти устройства должны включать усиленные средства контроля мошенничества, такие как надежные механизмы аутентификации пользователей, проверки целостности транзакций и обнаружение подозрительной активности.
Кроме того, статья 4 Директивы о цифровых технологиях затрагивает ключевой момент для экосистемы Интернета вещей : сочетание радиооборудования с программным обеспечением. Производители обязаны предоставлять информацию о соответствии предполагаемых комбинаций аппаратного и программного обеспечения, гарантируя, что после обновления или модификации программного обеспечения продукт продолжает соответствовать основным требованиям директивы.
Область применения: что считается радиооборудованием
Чтобы точно понять, что именно входит в эти обязательства, мы должны вернуться к определению самой директивы. Согласно статье 2(1) ДПД , радиооборудование определяется как любое электрическое или электронное изделие, которое передает и/или принимает радиоволны для целей радиосвязи или радионавигации, или которое требует для этого принадлежностей (таких как антенна).
Данное определение уточняется исключениями, указанными в статье 1(2), 1(3) и Приложении I , которые исключают определенное специально регулируемое оборудование. Кроме того, Делегированный регламент 2022/30 добавляет условие, что устройство должно иметь возможность подключаться к интернету, чтобы могли применяться требования кибербезопасности, изложенные в статьях 3(3)(d)-(f).
На практике большинство продуктов с возможностями IoT и беспроводной связью, продаваемых в ЕС, попадут под контроль RED: от подключенного термостата до промышленного контроллера с модулем сотовой связи, включая носимые устройства, домашние маршрутизаторы, умные колонки или решения для «умных» зданий.
Гармонизированные стандарты EN 18031: техническая дорожная карта
Чтобы упростить производителям демонстрацию соответствия требованиям, Европейская комиссия поручила CEN и CENELEC разработать технические стандарты, которые переводят законодательные требования в конкретные меры контроля и испытания. Результатом этой работы стали гармонизированные стандарты серии EN 18031.
Начиная с 28 января 2025 года, в рамках RED были гармонизированы три стандарта EN 18031 , что обеспечивает относительно четкий путь для оценки кибербезопасности:
- EN 18031-1: определяет основные требования кибербезопасности для радиооборудования, включая аутентификацию, шифрование, управление учетными данными, механизмы безопасной загрузки и процессы обновления микропрограммного обеспечения.
- EN 18031-2Основное внимание уделяется защите конфиденциальности для команд, работающих с персональными данными или данными о местоположении, включая меры по минимизации данных, контролю со стороны пользователей и защите от утечек.
- EN 18031-3Он направлен на обеспечение безопасности устройств, используемых в цифровых платежах и виртуальных деньгах, усиление целостности транзакций и защиту от мошенничества.
Тем не менее, простого «проставления галочки» для соответствия стандарту недостаточно . Некоторые пункты этих стандартов содержат ограничения и не охватывают все сценарии. Например, продукты, позволяющие работать без обязательного пароля, не имеющие адекватного родительского контроля или предлагающие дополнительные настройки безопасности, могут потребовать дополнительных мер или более тщательной оценки.
В таких случаях рекомендуется привлекать уполномоченный орган . Эти органы, назначаемые государствами-членами, отвечают за проведение оценок соответствия, когда требуется независимая третья сторона. Комиссия ведет официальный список уполномоченных органов, и сотрудничество с одним из них помогает гарантировать, что продукт соответствует всем конкретным требованиям, даже если прямого применения гармонизированных стандартов недостаточно.
Закон о киберустойчивости и RED: пересечения и сроки реализации.
Закон о киберустойчивости (Cyber Resilience Act, CRA) добавляет еще один уровень регулирования в европейскую экосистему кибербезопасности. Его сфера действия даже шире, чем у Закона о кибербезопасности (RED Act), поскольку он распространяется практически на все «продукты с цифровыми элементами»: микросхемы, программное обеспечение, устройства, приложения и т. д., охватывая весь жизненный цикл, от проектирования до обновлений и управления уязвимостями.
Закон о кибербезопасности устанавливает основные требования, такие как обязанность предоставлять обновления безопасности в течение нескольких лет (в проектах в качестве ориентира упоминается пятилетний срок), а также конкретные обязательства по управлению уязвимостями, ответственному раскрытию информации, информированию пользователей и отчетности об инцидентах. Продукты сгруппированы по категориям с различными схемами соответствия: самооценка для некритических продуктов, оценка третьей стороной или применение стандартов для критически важных продуктов класса I, и оценка национальным органом для критически важных продуктов класса II.
На сегодняшний день Соглашение о реагировании на киберугрозы (CRA) уже получило политическое одобрение в европейских институтах , хотя его основные требования начнут применяться лишь примерно через три года после вступления в силу. Однако обязательства по сообщению об уязвимостях и кибер-инцидентах могут вступить в силу до конца 2025 года, что заставит многие компании усилить свои процессы реагирования на инциденты.
Между RED и CRA существует явное совпадение: большая часть радиооборудования также является продукцией с цифровыми компонентами . Кроме того, CRA включает в себя те же цели кибербезопасности, что и статьи 3(3)(d)-(f) RED. Однако ключевым моментом является временная шкала: обязательства в рамках RED и его Делегированного регламента вступят в силу 1 августа 2025 года, в то время как основная часть CRA вступит в силу несколько позже.
На практике это означает, что производитель подключенных термостатов, запускающий продукт в сентябре 2025 года, должен будет провести самооценку как минимум на соответствие требованиям RED (или обратиться к уполномоченному органу). Позже, когда CRA станет полностью применима, ей, возможно, придется провести вторую оценку в рамках этой системы, хотя ожидается некоторая конвергенция: требования RED в конечном итоге могут стать подмножеством требований CRA, что облегчит повторное использование доказательств и документации.
Техническое усиление защиты сетей и устройств Интернета вещей.
Помимо соблюдения нормативных требований, для повышения безопасности сети IoT необходим комплексный системный подход . Недостаточно обеспечить безопасность только устройства или облака: необходимо учитывать аппаратное обеспечение, микропрограммное обеспечение, возможности подключения, API, бэкэнд и операционные процессы.
Ключевые технические меры защиты включают в себя методы, уже соответствующие требованиям стандартов EN 18031, ETSI EN 303 645 или NIST 8259:
- Безопасная загрузка и проверка прошивки: предотвращение выполнения несанкционированного кода при запуске устройства, проверка криптографических подписей и обеспечение целостности прошивки.
- Укрепление интерфейсовОтключайте ненужные порты и службы, сегментируйте сети и защищайте интерфейсы управления с помощью надежной аутентификации и, по возможности, ограничения доступа.
- Шифрование связи: использовать современные протоколы, такие как TLS 1.2+ или 1.3, для всего трафика данных, включая телеметрию, команды управления и каналы управления.
- Надежное управление учетными данными: удалить учетные данные по умолчанию, принудительно изменить их при первом использовании, внедрить строгие правила использования паролей и, где это уместно, использовать механизмы многофакторной аутентификации.
- Автоматические и безопасные обновления: создать процессы обновления по беспроводной сети (OTA) с криптографической проверкой, зашифрованными каналами и возможностью отката в случае сбоя.
- Безопасность API: аутентифицировать и авторизовать все вызовы третьих лиц, ограничивать права доступа, используя принципы минимальных привилегий, и проводить аудит доступа к ключевым ресурсам.
- Мониторинг и анализ поведения: Применяйте решения для обнаружения аномалий, часто на основе искусственного интеллекта, для выявления необычного поведения устройств, перегрузки трафика или типичных моделей вредоносного ПО.
- Безопасность цепочки поставок: проверить происхождение аппаратных и программных компонентов, провести анализ встроенного программного обеспечения и потребовать от поставщиков гарантий безопасности.
Параллельно необходимо обеспечить интеграцию защиты конфиденциальности на самом уровне . Это включает в себя не только шифрование данных, но и минимизацию собираемой информации, предоставление четких настроек для пользователей, избегание ненужного отслеживания и приведение обработки данных в соответствие с принципами GDPR как на этапе проектирования, так и по умолчанию.
Практическое соблюдение требований RED: ключевые процессы и участники.
Для производителей соблюдение требований RED и Делегированного регламента 2022/30 — это не только технический вопрос , но и вопрос процессов и управления. Рекомендуется иметь четкую карту всех затронутых продуктов, их архитектуры, обрабатываемых ими данных, а также функций оплаты или монетизации, которые могут привести к применению требований статьи 3(3)(f).
Во многих случаях самооценка может быть проведена при условии, что продукт разработан в соответствии с гармонизированными стандартами и ведется надежная техническая документация. Однако в сложных сценариях или когда стандарт не полностью охватывает конкретный случай использования, привлечение уполномоченного органа обеспечивает юридическую и техническую определенность.
В то время как отрасль ожидает доработки согласованных стандартов и схем оценки CRA, появились такие инициативы, как PSA Certified , предлагающие системы сертификации, соответствующие новым нормативным актам (RED, CRA и британский PSTI). Например, сертификация PSA Certified Level 1 включает в себя специальный раздел, посвященный нормативным требованиям, где производители могут документировать свое соответствие нормативным требованиям и представлять эту документацию на независимую проверку.
Подобные схемы, соответствующие передовым мировым практикам, таким как EN 303 645 и NIST 8259 , позволяют производителям оригинального оборудования, поставщикам программного обеспечения и производителям микросхем опережать события, интегрируя уже сейчас средства контроля, требуемые как RED и CRA, так и другими национальными нормативными актами.
Платформы IoT, обновления и управление автопарком
Еще одним ключевым аспектом повышения безопасности сетей IoT является возможность централизованного управления большими парками устройств . Без надежной платформы управления применение исправлений, ротация сертификатов или обнаружение подозрительного поведения в больших масштабах становится практически невозможным.
В этой области все большее значение приобретают комплексные решения для Интернета вещей, объединяющие оркестрацию данных, управление устройствами, беспроводные обновления (OTA) и возможности искусственного интеллекта для принятия решений. Такие функции, как взаимная SSL-аутентификация, периодическая смена сертификатов и безопасные обновления прошивки, повышают эффективность как конечной точки, так и сети.
Некоторые платформы также интегрируют инструменты кибербезопасности, специфичные для Интернета вещей, включая защиту во время выполнения и непрерывный анализ уязвимостей . Это упрощает обнаружение отклонений в поведении развернутых устройств, выявление уязвимостей как до, так и после развертывания в производственной среде, а также определение приоритетов в мерах по устранению проблем.
Параллельно эти платформы служат основой для бизнес-моделей, основанных на предоставлении услуг : монетизация данных, модели подписки, передовые сервисы на основе ИИ/машинного обучения и т. д. Таким образом, усилия, вложенные в соответствие с требованиями RED и повышение уровня безопасности, не только снижают риски, но и открывают двери для новых источников дохода и дополнительных предложений.
Весь этот подход, при условии его тщательной разработки, демонстрирует явную приверженность безопасности и соблюдению нормативных требований со стороны производителей и поставщиков технологий, что все больше ценится как конечными потребителями, так и регулирующими органами.
Компании, предоставляющие услуги по тестированию, сертификации и оценке соответствия, также играют важную роль, предлагая технические аудиты, лабораторные исследования и даже специализированное обучение по RED, CRA и другим нормативным актам. Использование их опыта может значительно ускорить процесс освоения этих нормативных требований организациями, впервые сталкивающимися с ними.
Вкратце, ужесточение защиты сетей IoT в рамках RED и будущего CRA требует переосмысления дизайна подключенных продуктов, усиления процессов безопасной разработки, мониторинга и обновления, а также тщательного понимания того, как каждое устройство вписывается в лабиринт европейских правил. Те, кто быстрее примет этот вызов, будут лучше подготовлены к снижению рисков, избежанию штрафов и, в то же время, смогут воспользоваться возможностью выделиться за счет безопасности, доверия и качества на все более требовательном рынке IoT.
