Forcimi i rrjetit IoT dhe pajtueshmëria me direktivën RED

Informatec Digital » Burime » Forcimi i rrjetit IoT dhe pajtueshmëria me direktivën RED

Shpërthimi i pajisjeve IoT dhe radios në shtëpi, fabrika, energji, kujdes shëndetësor dhe transport ka ndryshuar plotësisht mënyrën se si lidhemi… dhe gjithashtu sipërfaqen e sulmit në dispozicion të kriminelëve kibernetikë. Çdo matës inteligjent, çdo pajisje e veshshme dhe çdo sensor industrial është, në praktikë, një pikë hyrjeje e mundshme në rrjet nëse nuk është projektuar duke pasur parasysh sigurinë që nga fillimi.

Në këtë kontekst, forcimi i rrjeteve IoT sipas Direktivës së Pajisjeve Radio (RED) dhe Aktit të ardhshëm të Rezistencës Kibernetike (CRA) është bërë një çështje kritike për prodhuesit, integruesit, operatorët dhe çdo kompani që shet produkte të lidhura në Bashkimin Evropian. Nuk ka të bëjë vetëm me "respektimin e dokumenteve": detyrimet e reja ligjore imponojnë kërkesa shumë specifike për sigurinë kibernetike, privatësinë dhe mbrojtjen nga mashtrimet që ndikojnë në projektimin e pajisjeve, firmware-it, softuerit, lidhshmërisë dhe shërbimeve cloud.

Korniza ligjore evropiane: pse RED dhe CRA ndryshojnë gjithçka

Gjatë dekadës së fundit, IoT është zgjeruar falë teknologjive si Wi-Fi, Bluetooth dhe NFC, të cilat kanë transformuar produkte të panumërta në pajisje radio të afta për të komunikuar me njëra-tjetrën dhe me cloud-in. Megjithatë, në sigurinë kibernetike, këto pajisje konsiderohen si një nga pikat më të dobëta: shumë zgjidhje për shtëpi inteligjente ende nuk kanë as mbrojtje minimale, dhe në mjediset industriale dhe prodhuese, ende ka boshllëqe të mëdha si në sigurinë e IT-së ashtu edhe në atë të OT-së.

Ndikimi ekonomik i kësaj situate është brutal: kostoja globale e krimit kibernetik ishte rreth 5,5 trilion euro në vitin 2020 sipas Këshillit të BE-së, dhe studime të kohëve të fundit si ai i Trend Micro tregojnë se gati 90% e kompanive gjermane të energjisë, naftës dhe gazit ose prodhimit pësuan sulme kibernetike në vetëm 12 muaj, me dëme mesatare prej gati 3 milionë eurosh për kompani.

Ndërkohë, rritja e pajisjeve që vishen dhe modeleve të biznesit të bazuara në të dhëna dhe të mundësuara nga inteligjenca artificiale ka theksuar më tej rëndësinë e mbrojtjes së informacionit personal. Rregullore të tilla si GDPR (Rregullorja (BE) 2016/679) ose ish-Direktiva R&TTE 1999/5/KE kanë dështuar në mbulimin e llojeve të kërcënimeve me të cilat përballen aktualisht pajisjet e lidhura, veçanërisht në lidhje me sulmet e avancuara kibernetike, mashtrimet online dhe manipulimin e shërbimeve.

Në përgjigje, Bashkimi Evropian ka forcuar Direktivën për Pajisjet Radio (RED) 2014/53/EU , në fuqi që nga viti 2016, e cila zëvendësoi Direktivën R&TTE. RED tashmë rregullonte përputhshmërinë elektromagnetike, sigurinë elektrike dhe përdorimin efikas të spektrit të radios; tani, ajo përfshin edhe detyrime të nivelit të lartë të sigurisë kibernetike që ndikojnë në shumicën e pajisjeve të lidhura radio, duke përfshirë shumë pajisje IoT.

Rregullorja e Deleguar (BE) 2022/30 dhe Nenet 3(3)(d)-(f) RED

Pika e vërtetë e kthesës erdhi me Rregulloren e Deleguar (BE) 2022/30 , të miratuar më 29 tetor 2021. Kjo rregullore “aktivizon” nenet 3(3)(d), (e) dhe (f) të NET, duke përcaktuar se cilat kategori të pajisjeve radio duhet të jenë në përputhje me kërkesat e reja për sigurinë kibernetike, privatësinë dhe mbrojtjen nga mashtrimet.

Standardi përqendrohet në disa familje produktesh veçanërisht të ndjeshme, duke përfshirë një pjesë të madhe të ekosistemit të IoT-së për konsumatorët dhe profesionistët :

• Pajisje radio të lidhura me internetinÇdo pajisje që mund të komunikojë me rrjetin, drejtpërdrejt ose tërthorazi. Kjo përfshin telefonat inteligjentë, tabletët, routerat, pajisjet IoT shtëpiake, sensorët e lidhur industrialë, etj.
• Pajisje radio për kujdesin ndaj fëmijëveprodukte të projektuara ekskluzivisht për të monitoruar ose ndihmuar në kujdesin e të miturve, siç janë monitorët e lidhur për foshnje.
• Pajisjet radio të mbuluara nga Direktiva 2009/48/KE për Sigurinë e LodraveLodra me funksione radioje të afta për të regjistruar, ruajtur ose ndarë informacion, për të bashkëvepruar me përdoruesit (veçanërisht me fëmijët) ose që integrojnë mikrofonë, altoparlantë ose sensorë.
• Pajisje radio të veshshmeçdo gjë e projektuar për t'u veshur mbi ose mbi rroba, siç janë orët inteligjente, gjurmuesit e aktivitetit, kufjet, kufjet ose syzet inteligjente.

Është e rëndësishme të theksohet se disa kategori përjashtohen nga kjo rregullore sepse ato tashmë kanë kuadrin e tyre specifik: pajisjet mjekësore (Rregulloret (BE) 2017/745 dhe 2017/746), pajisjet e aviacionit civil, sistemet elektronike të pagesës dhe pajisje të tjera të rregulluara nga legjislacion i ndryshëm sektorial dhe të përjashtuara nga fushëveprimi i RED.

Fillimisht, këto detyrime të reja do të zbatoheshin nga 1 gushti 2024, por Komisioni Evropian vendosi ta shtyjë datën me një vit për t'i dhënë kohë industrisë. Afati i ri i detyrueshëm për pajtueshmërinë me Rregulloren e Deleguar (BE) 2022/30 është 1 gushti 2025. Prodhuesit, shpërndarësit dhe OEM-të që integrojnë module radio duhet ta përdorin këtë kohë për të përshtatur dizajnet, për të siguruar proceset e zhvillimit dhe për të siguruar dokumentacionin e konformitetit.

Kërkesat për sigurinë kibernetike, privatësinë dhe anti-mashtrimin në rrjet

Nenet 3(3)(d), (e) dhe (f) të RED përmbajnë thelbin e kërkesave të reja të sigurisë, të hartuara për të zvogëluar rreziqet që lidhen me lidhshmërinë e pajisjeve radio, veçanërisht pajisjeve IoT.

Neni 3(3)(d) trajton të gjitha pajisjet radio të lidhura me internetin dhe kërkon që ato të jenë të projektuara në mënyrë të tillë që të mos dëmtojnë rrjetin ose funksionet e tij, të mos abuzojnë me burimet e rrjetit ose të mos e degradojnë shërbimin në mënyrë të papranueshme . Në praktikë, kjo përfshin masa për të parandaluar që një pajisje e kompromentuar të ndërpresë një shërbim, të nisë një sulm DDoS ose të ndërhyjë në disponueshmërinë e rrjeteve kritike.

Neni 3(3)(e) përqendrohet në mbrojtjen e të dhënave personale dhe privatësinë e përdoruesve dhe pajtimtarëve. Ai kërkon që pajisjet radio që përpunojnë të dhëna personale të përfshijnë masa mbrojtëse për të parandaluar aksesin e paautorizuar ose transmetimin e papërshtatshëm të informacionit, për shembull përmes kontrolleve të forta të aksesit, enkriptimit të të dhënave gjatë tranzitit dhe në gjendje pushimi, dhe parimeve të privatësisë sipas dizajnit dhe minimizimit të të dhënave.

Neni 3(3)(f) prezanton kërkesa specifike për pajisjet që përpunojnë monedhë virtuale ose vlera monetare , domethënë ato të përfshira në pagesa dixhitale, portofolet elektronike ose operacione të ngjashme. Këto pajisje duhet të përfshijnë kontrolle të përmirësuara të mashtrimit, siç janë mekanizmat e fortë të vërtetimit të përdoruesit, kontrollet e integritetit të transaksioneve dhe zbulimi i aktivitetit të dyshimtë.

Për më tepër, Neni 4 i RED trajton një pikë kyçe për ekosistemin IoT : kombinimin e pajisjeve radio me softuerin. Prodhuesit duhet të japin informacion mbi konformitetin e kombinimeve të synuara të harduerit dhe softuerit, duke siguruar që, pas një përditësimi ose modifikimi të softuerit, produkti të vazhdojë të përmbushë kërkesat thelbësore të direktivës.

Fusha e zbatimit: çfarë konsiderohet pajisje radioje

Për të kuptuar saktësisht se çfarë përfshihet në këto detyrime, duhet të kthehemi te përkufizimi i vetë direktivës. Sipas Nenit 2(1) të RED-së , pajisjet radio përkufizohen si çdo produkt elektrik ose elektronik që transmeton dhe/ose merr valë radioje për qëllime të radiokomunikimit ose radionavigimit, ose që kërkon aksesorë (siç është një antenë) për ta bërë këtë.

Ky përkufizim kufizohet nga përjashtimet në Nenin 1(2), 1(3) dhe Shtojcën I , të cilat përjashtojnë pajisje të caktuara të rregulluara posaçërisht. Për më tepër, Rregullorja e Deleguar 2022/30 shton kushtin që pajisja duhet të jetë në gjendje të lidhet me internetin që të zbatohen kërkesat e sigurisë kibernetike të Nenit 3(3)(d)-(f).

Në praktikë, shumica e produkteve me aftësi IoT dhe lidhje pa tel të tregtuara në BE do të bien nën radarin e RED: nga një termostat i lidhur te një kontrollues industrial me një modul celular, duke përfshirë pajisje të veshshme, routerë shtëpiakë, altoparlantë inteligjentë ose zgjidhje për ndërtesa inteligjente.

Standardet e harmonizuara EN 18031: udhërrëfyesi teknik

Për ta bërë më të lehtë për prodhuesit që të demonstrojnë përputhshmërinë, Komisioni Evropian i ngarkoi CEN dhe CENELEC me detyrën e zhvillimit të standardeve teknike që përkthejnë kërkesat ligjore në kontrolle dhe teste konkrete. Kjo punë rezultoi në standardet e harmonizuara të serisë EN 18031.

Që nga 28 janari 2025, tre standarde EN 18031 janë harmonizuar sipas RED , duke ofruar një rrugë relativisht të qartë për vlerësimin e sigurisë kibernetike:

• EN-18031 1përcakton kërkesat themelore të sigurisë kibernetike për pajisjet radio, duke përfshirë autentifikimin, enkriptimin, menaxhimin e kredencialeve, mekanizmat e nisjes së sigurt dhe proceset e përditësimit të firmware-it.
• EN-18031 2Ai përqendrohet në mbrojtjet e privatësisë për ekipet që merren me të dhëna personale ose të vendndodhjes, me masa për minimizimin e të dhënave, kontrollin e përdoruesit dhe mbrojtjen nga rrjedhjet.
• EN-18031 3Ai trajton sigurinë e pajisjeve të përfshira në pagesat dixhitale dhe paratë virtuale, duke përforcuar integritetin e transaksioneve dhe mbrojtjen kundër mashtrimit.

Megjithatë, thjesht "shenja e kutisë" për t'u pajtuar me standardin nuk është e mjaftueshme . Disa klauzola në këto standarde kanë kufizime dhe nuk i mbulojnë të gjitha skenarët. Për shembull, produktet që lejojnë funksionimin pa një fjalëkalim të detyrueshëm, nuk kanë kontrolle të mjaftueshme prindërore ose ofrojnë cilësime opsionale sigurie mund të kërkojnë masa shtesë ose një vlerësim më të plotë.

Në raste të tilla, rekomandimi është të përfshihet një Organ i Njoftuar . Këto organe, të emëruara nga Shtetet Anëtare, janë përgjegjëse për kryerjen e vlerësimeve të konformitetit kur kërkohet një palë e tretë e pavarur. Komisioni mban një listë zyrtare të Organeve të Njoftuara dhe bashkëpunimi me njërin prej tyre ndihmon në sigurimin që produkti të përmbushë të gjitha kërkesat specifike, edhe kur zbatimi i drejtpërdrejtë i standardeve të harmonizuara është i pamjaftueshëm.

Akti i Rezistencës Kibernetike dhe RED: mbivendosje dhe afat kohor

Akti i Rezistencës Kibernetike (CRA) shton një shtresë tjetër rregullatore në ekosistemin evropian të sigurisë kibernetike. Fusha e zbatimit të tij është edhe më e gjerë se ajo e Aktit RED, pasi zbatohet për pothuajse të gjitha "produktet me elementë dixhitalë": çipa, softuerë, pajisje, aplikacione etj., duke mbuluar të gjithë ciklin jetësor, nga dizajni deri te përditësimet dhe menaxhimi i cenueshmërisë.

CRA përcakton kërkesa themelore, të tilla si detyrimi për të ofruar përditësime sigurie për disa vite (draftet përmendën pesë vite si referencë), si dhe detyrime specifike për menaxhimin e cenueshmërisë, zbulimin e përgjegjshëm, informacionin e përdoruesit dhe raportimin e incidenteve. Produktet grupohen në kategori me skema të ndryshme përputhshmërie: vetëvlerësim për produktet jo-kritike, vlerësim nga palë të treta ose zbatim i standardeve për Klasën Kritike I dhe vlerësim nga një organ kombëtar për Klasën Kritike II.

Deri më sot, CRA ka arritur tashmë një marrëveshje politike brenda institucioneve evropiane , megjithëse kërkesat e saj kryesore nuk do të zbatohen deri afërsisht tre vjet pas hyrjes së saj në fuqi. Megjithatë, detyrimet për të raportuar dobësitë dhe incidentet kibernetike mund të hyjnë në fuqi para fundit të vitit 2025, gjë që do t'i detyrojë shumë kompani të forcojnë proceset e tyre të reagimit ndaj incidenteve.

Ekziston një mbivendosje e qartë midis RED dhe CRA: shumica e pajisjeve radio janë gjithashtu produkte me komponentë dixhitalë . Për më tepër, CRA përfshin të njëjtat objektiva të sigurisë kibernetike si nenet 3(3)(d)-(f) të RED. Megjithatë, pika kyçe është afati kohor: detyrimet sipas RED dhe Rregullores së saj të Deleguar do të hyjnë në fuqi më 1 gusht 2025, ndërsa pjesa më e madhe e CRA do të hyjë në fuqi disi më vonë.

Në praktikë, kjo do të thotë që një prodhues i termostatëve të lidhur që do të lançojë një produkt në shtator 2025 do të duhet të vetëvlerësojë të paktën kërkesat e RED (ose të mbështetet në një Organ të Njoftuar). Më vonë, kur CRA të jetë plotësisht e zbatueshme, ata mund të duhet të kryejnë një vlerësim të dytë sipas atij kuadri, megjithëse pritet njëfarë konvergjence: kërkesat e RED përfundimisht mund të bëhen një nëngrup i kërkesave të CRA, duke lehtësuar ripërdorimin e provave dhe dokumentacionit.

Forcimi teknik i rrjeteve dhe pajisjeve IoT

Përtej pajtueshmërisë rregullatore, forcimi i një rrjeti IoT kërkon një qasje gjithëpërfshirëse të sistemeve . Sigurimi vetëm i pajisjes ose vetëm i cloud-it është i pamjaftueshëm: hardueri, firmware-i, lidhshmëria, API-të, backend-i dhe operacionet duhet të merren në konsideratë të gjitha.

Mbrojtjet kryesore teknike përfshijnë praktikat që janë tashmë në përputhje me kërkesat e EN 18031, ETSI EN 303 645 ose NIST 8259:

• Vlefshmëria e sigurt e nisjes dhe firmware-itparandalojnë ekzekutimin e kodit të paautorizuar gjatë nisjes së pajisjes, verifikojnë nënshkrimet kriptografike dhe sigurojnë integritetin e firmware-it.
• Forcimi i ndërfaqeveÇaktivizoni portet dhe shërbimet e panevojshme, segmentoni rrjetet dhe mbroni ndërfaqet e menaxhimit me autentifikim të fortë dhe, kur është e mundur, akses të kufizuar.
• Enkriptimi i komunikimevepërdorin protokolle moderne si TLS 1.2+ ose 1.3 për të gjithë trafikun e të dhënave, duke përfshirë telemetrinë, komandat e kontrollit dhe kanalet e menaxhimit.
• Menaxhim i fuqishëm i kredencialeveHiqni kredencialet standarde, detyroni ndryshimin që në përdorimin e parë, zbatoni politika të forta për fjalëkalime dhe përfshini, aty ku është e përshtatshme, mekanizma vërtetimi shumëfaktorësh.
• Përditësime automatike dhe të sigurtaVendosni procese përditësimi OTA (Over-the-Air) me verifikim kriptografik, kanale të enkriptuara dhe aftësi rikthimi në rast dështimi.
• Siguria e API-t: autentifikoni dhe autorizoni të gjitha thirrjet e palëve të treta, kufizoni lejet duke përdorur parimet e privilegjit më të vogël dhe auditoni qasjen në burimet kryesore.
• Monitorimi dhe analiza e sjelljesZbatoni zgjidhje për zbulimin e anomalive, shpesh të mundësuara nga IA, për të identifikuar sjelljet e pazakonta të pajisjeve, mbingarkesat e trafikut ose modelet tipike të programeve keqdashëse.
• Siguria e zinxhirit të furnizimitVerifikoni origjinën e komponentëve të harduerit dhe softuerit, kryeni analizën e firmware-it dhe kërkoni garanci sigurie nga furnizuesit.

Paralelisht, privatësia duhet të integrohet në mënyrë native . Kjo përfshin jo vetëm enkriptimin e të dhënave, por edhe minimizimin e informacionit të mbledhur, ofrimin e cilësimeve të qarta të përdoruesit, shmangien e gjurmimit të panevojshëm dhe përshtatjen e përpunimit të të dhënave me parimet e GDPR-së, si me dashje ashtu edhe me parazgjedhje.

Pajtueshmëria praktike me RED: proceset dhe agjentët kryesorë

Për prodhuesit, përputhshmëria me RED dhe Rregulloren e Deleguar 2022/30 nuk është vetëm një çështje inxhinierike , por edhe një çështje procesesh dhe qeverisjeje. Këshillohet që të ketë një hartë të qartë të të gjitha produkteve të prekura, arkitekturës së tyre, të dhënave që ato trajtojnë dhe funksioneve të pagesës ose monetizimit që mund të shkaktojnë kërkesat e Nenit 3(3)(f).

Në shumë raste, vetëvlerësimi mund të kryhet , me kusht që produkti të jetë projektuar në përputhje me standardet e harmonizuara dhe të mbahet dokumentacion teknik i fuqishëm. Megjithatë, për skenarë kompleksë ose kur standardi nuk e mbulon plotësisht rastin e përdorimit, përdorimi i një Organi të Njoftuar ofron siguri ligjore dhe teknike.

Ndërsa industria pret pjekurinë e standardeve të harmonizuara dhe skemave të vlerësimit CRA, kanë dalë në pah iniciativa të tilla si PSA Certified , të cilat ofrojnë korniza certifikimi të përafruara me rregulloret në zhvillim (RED, CRA dhe PSTI i Mbretërisë së Bashkuar). PSA Certified Level 1, për shembull, përfshin një seksion të dedikuar rregullator ku prodhuesit mund të dokumentojnë pajtueshmërinë e tyre me kërkesat rregullatore dhe ta paraqesin atë dokumentacion për shqyrtim të pavarur.

Këto lloje skemash, të harmonizuara me praktikat më të mira globale si EN 303 645 dhe NIST 8259 , u lejojnë prodhuesve të pajisjeve origjinale (OEM), ofruesve të softuerëve dhe prodhuesve të çipave të ecin përpara në të ardhmen, duke integruar që tani e tutje kontrollet e kërkuara si nga RED ashtu edhe nga CRA dhe kornizat e tjera kombëtare.

Platformat, përditësimet dhe menaxhimi i flotës IoT

Një aspekt tjetër kyç i forcimit të rrjeteve IoT është aftësia për të menaxhuar në mënyrë qendrore flota të mëdha pajisjesh . Pa një platformë të fuqishme menaxhimi, aplikimi i patch-eve, rrotullimi i certifikatave ose zbulimi i sjelljes së dyshimtë bëhet pothuajse i pamundur në shkallë të gjerë.

Në këtë fushë, zgjidhjet gjithëpërfshirëse të IoT që kombinojnë orkestrimin e të dhënave, menaxhimin e pajisjeve, përditësimet ajrore (OTA) dhe aftësitë e IA-së për vendimmarrje po bëhen gjithnjë e më të rëndësishme. Karakteristika të tilla si autentifikimi i ndërsjellë SSL, rotacioni periodik i certifikatave dhe përditësimet e sigurta të firmware-it forcojnë si pikën fundore ashtu edhe rrjetin.

Disa platforma integrojnë gjithashtu mjete kibernetike specifike për IoT, duke përfshirë sigurinë në kohën e ekzekutimit dhe analizën e vazhdueshme të cenueshmërisë . Kjo e bën më të lehtë zbulimin e devijimeve të sjelljes në pajisjet e vendosura, zbulimin e cenueshmërive si para ashtu edhe pas vendosjes në prodhim, dhe përcaktimin e përparësive të veprimeve zbutëse.

Paralelisht, këto platforma shërbejnë si bazë për modelet e biznesit të bazuara në shërbime : monetizimi i të dhënave, modelet e abonimit, shërbimet e avancuara të bazuara në IA/ML, etj. Kështu, përpjekja e investuar në pajtueshmërinë me RED dhe sigurinë e përmirësuar jo vetëm që zvogëlon rrezikun, por gjithashtu hap derën për rrjedha të reja të të ardhurave dhe oferta me vlerë të shtuar.

E gjithë kjo qasje, kur hartohet me kujdes, demonstron një angazhim të qartë ndaj sigurisë dhe rregullimit nga ana e prodhuesve dhe ofruesve të teknologjisë, diçka që vlerësohet gjithnjë e më shumë si nga klientët fundorë ashtu edhe nga rregullatorët.

Kompanitë e shërbimeve të testimit, certifikimit dhe vlerësimit të konformitetit luajnë gjithashtu një rol të rëndësishëm, duke ofruar auditime teknike, testime laboratorike dhe madje edhe trajnime të specializuara mbi RED, CRA dhe rregullore të tjera. Shfrytëzimi i ekspertizës së tyre mund ta përshpejtojë shumë kurbën e të mësuarit për organizatat që përballen me këtë kuadër rregullator për herë të parë.

Shkurt, forcimi i rrjeteve IoT brenda kuadrit të RED dhe CRA-së së ardhshme kërkon një ripërcaktim të dizajnit të produkteve të lidhura, forcimin e proceseve të zhvillimit, monitorimit dhe përditësimit të sigurt, si dhe një kuptim të plotë se si secila pajisje përshtatet në labirintin e rregulloreve evropiane. Ata që e marrin përsipër këtë sfidë më shpejt do të jenë në një pozicion më të mirë për të zvogëluar rreziqet, për të shmangur penalitetet dhe, në të njëjtën kohë, për të shfrytëzuar mundësinë për t'u dalluar përmes sigurisë, besimit dhe cilësisë në një treg IoT gjithnjë e më kërkues.