Посилення безпеки мережі Інтернету речей та відповідність директиві RED

Інформатек Діджитал » Ресурси » Посилення безпеки мережі Інтернету речей та відповідність директиві RED

Вибухове зростання популярності пристроїв Інтернету речей та радіозв'язку в будинках, на заводах, в енергетиці, охороні здоров'я та транспорті повністю змінило спосіб нашого підключення… а також поверхню атаки, доступну для кіберзлочинців. Кожен розумний лічильник, кожен носимий пристрій та кожен промисловий датчик на практиці є потенційною точкою входу в мережу, якщо його не було розроблено з урахуванням безпеки з самого початку.

У цьому контексті посилення захисту мереж Інтернету речей відповідно до Директиви про радіообладнання (RED) та майбутнього Закону про кіберстійкість (CRA) стало критичним питанням для виробників, інтеграторів, операторів та будь-якої компанії, яка продає підключені продукти в Європейському Союзі. Йдеться не лише про «дотримання документації»: нові правові зобов’язання встановлюють дуже конкретні вимоги щодо кібербезпеки, конфіденційності та захисту від шахрайства, які впливають на розробку апаратного забезпечення, прошивки, програмного забезпечення, підключення та хмарних сервісів.

Європейська правова база: чому RED та CRA змінюють усе

Протягом останнього десятиліття Інтернет речей розширився завдяки таким технологіям, як Wi-Fi, Bluetooth та NFC, які перетворили незліченну кількість продуктів на радіопристрої, здатні взаємодіяти один з одним та з хмарою. Однак у сфері кібербезпеки ці пристрої вважаються одним із найслабших місць: багатьом рішенням для розумного дому досі бракує навіть мінімального захисту, а в промисловому та виробничому середовищі все ще існують величезні прогалини як в ІТ-безпеці, так і в безпеці операційних систем.

Економічний вплив цієї ситуації є жахливим: за даними Ради ЄС, глобальні збитки від кіберзлочинності у 2020 році склали близько 5,5 трильйона євро , а нещодавні дослідження, такі як дослідження Trend Micro, показують, що майже 90% німецьких енергетичних, нафтогазових або виробничих компаній постраждали від кібератак лише за 12 місяців, із середніми збитками майже 3 мільйони євро на компанію.

Тим часом, зростання популярності носимих пристроїв та бізнес-моделей, заснованих на даних та штучному інтелекті, ще більше підкреслило важливість захисту персональної інформації. Такі нормативні акти, як GDPR (Регламент (ЄС) 2016/679) або колишня Директива R&TTE 1999/5/EC, не охоплюють типи загроз, з якими зараз стикаються підключені пристрої, особливо щодо складних кібератак, онлайн-шахрайства та маніпуляцій із послугами.

У відповідь на це Європейський Союз посилив Директиву про радіообладнання (RED) 2014/53/EU , чинну з 2016 року, яка замінила R&TTE. RED вже регулювала електромагнітну сумісність, електробезпеку та ефективне використання радіоспектру; тепер вона також включає зобов'язання високого рівня щодо кібербезпеки, які стосуються більшості підключеного радіообладнання, включаючи багато пристроїв Інтернету речей.

Делегований регламент (ЄС) 2022/30 та статті 3(3)(d)-(f) Директиви про використання електроенергії

Справжнім поворотним моментом став Делегований регламент (ЄС) 2022/30 , прийнятий 29 жовтня 2021 року. Цей регламент «активує» статті 3(3)(d), (e) та (f) NET, визначаючи, які категорії радіообладнання повинні відповідати новим вимогам щодо кібербезпеки, конфіденційності та захисту від шахрайства.

Стандарт зосереджений на кількох особливо чутливих сімействах продуктів, включаючи значну частину споживчої та професійної екосистеми Інтернету речей :

• Радіообладнання, підключене до ІнтернетуБудь-який пристрій, який може безпосередньо чи опосередковано взаємодіяти з мережею. Це включає смартфони, планшети, маршрутизатори, домашні пристрої Інтернету речей, підключені промислові датчики тощо.
• Радіообладнання для догляду за дітьми: продукти, призначені виключно для моніторингу неповнолітніх або допомоги у догляді за ними, такі як підключені дитячі монітори.
• Радіообладнання, на яке поширюється дія Директиви 2009/48/ЄС про безпеку іграшокІграшки з радіофункціями, здатні записувати, зберігати або передавати інформацію, взаємодіяти з користувачами (особливо дітьми), або які мають вбудовані мікрофони, динаміки чи датчики.
• Носимі радіопристроївсе, що призначене для носіння на одязі або поверх нього, наприклад, смарт-годинники, трекери активності, гарнітури, навушники або смарт-окуляри.

Важливо зазначити, що певні категорії виключені з цього регламенту , оскільки вони вже мають власну специфічну систему: медичні вироби (Регламенти (ЄС) 2017/745 та 2017/746), обладнання цивільної авіації, електронні системи стягнення плати за проїзд та інші пристрої, що регулюються різним галузевим законодавством та виключені зі сфери дії Директиви про радіочастотні системи (RED).

Спочатку ці нові зобов'язання мали застосовуватися з 1 серпня 2024 року, але Європейська Комісія вирішила відкласти цю дату на один рік, щоб дати галузі час. Новий обов'язковий термін для виконання Делегованого регламенту (ЄС) 2022/30 – 1 серпня 2025 року. Виробники, дистриб'ютори та виробники оригінального обладнання (OEM), які інтегрують радіомодулі, повинні використовувати цей час для коригування конструкцій, забезпечення процесів розробки та документації відповідності.

Вимоги щодо кібербезпеки, конфіденційності та боротьби з шахрайством у мережі

Статті 3(3)(d), (e) та (f) Директиви про радіочастотні технології (RED) містять основні вимоги безпеки, розроблені для зменшення ризиків, пов’язаних із підключенням радіообладнання, особливо пристроїв Інтернету речей.

Стаття 3(3)(d) стосується всього радіообладнання, підключеного до Інтернету, та вимагає, щоб воно було розроблене таким чином, щоб не завдавати шкоди мережі чи її функціям, не зловживати мережевими ресурсами чи неприйнятно погіршувати якість обслуговування . На практиці це передбачає заходи, спрямовані на запобігання виходу з ладу скомпрометованого пристрою, запуску DDoS-атаки або перешкоджанню доступності критично важливих мереж.

Стаття 3(3)(e) зосереджена на захисті персональних даних та конфіденційності користувачів і абонентів. Вона вимагає, щоб радіообладнання, яке обробляє персональні дані, включало засоби захисту для запобігання несанкціонованому доступу або неналежній передачі інформації, наприклад, за допомогою надійного контролю доступу, шифрування даних під час передачі та зберігання, а також принципів конфіденційності на етапі проектування та мінімізації даних.

Стаття 3(3)(f) запроваджує конкретні вимоги до пристроїв, що обробляють віртуальну валюту або грошові цінності , тобто тих, що використовуються в цифрових платежах, електронних гаманцях або подібних операціях. Ці пристрої повинні мати розширені засоби контролю шахрайства, такі як надійні механізми автентифікації користувачів, перевірки цілісності транзакцій та виявлення підозрілої активності.

Крім того, стаття 4 Директиви про радіообладнання стосується ключового моменту для екосистеми Інтернету речей : поєднання радіообладнання з програмним забезпеченням. Виробники зобов'язані надавати інформацію про відповідність передбачуваних комбінацій апаратного та програмного забезпечення, гарантуючи, що після оновлення або модифікації програмного забезпечення продукт продовжує відповідати основним вимогам директиви.

Сфера застосування: що вважається радіообладнанням

Щоб точно зрозуміти, що саме входить до цих зобов'язань, нам слід повернутися до власне визначення директиви. Згідно зі статтею 2(1) Директиви про радіочастотні випромінювання (RED) , радіообладнання визначається як будь-який електричний або електронний виріб, який передає та/або приймає радіохвилі для цілей радіозв'язку чи радіонавігації, або для цього потрібні аксесуари (такі як антена).

Це визначення уточнюється винятками, наведеними у статті 1(2), 1(3) та Додатку I , які виключають певне спеціально регульоване обладнання. Крім того, Делегований регламент 2022/30 додає умову, що пристрій повинен мати можливість підключатися до Інтернету для застосування вимог кібербезпеки, викладених у статті 3(3)(d)-(f).

На практиці більшість продуктів з можливостями Інтернету речей та бездротовим підключенням, що продаються в ЄС, потраплять під увагу RED: від підключеного термостата до промислового контролера зі стільниковим модулем, включаючи портативні пристрої, домашні маршрутизатори, розумні колонки або рішення для розумних будівель.

Гармонізовані стандарти EN 18031: технічна дорожня карта

Щоб полегшити виробникам демонстрацію відповідності, Європейська комісія доручила CEN та CENELEC розробити технічні стандарти, які перетворюють законодавчі вимоги на конкретні засоби контролю та випробування. Ця робота призвела до появи гармонізованих стандартів серії EN 18031.

З 28 січня 2025 року в рамках Директиви про радіочастотні технології (RED) було гармонізовано три стандарти EN 18031 , що забезпечує відносно чіткий шлях для оцінки кібербезпеки:

• EN-18031 1: визначає основні вимоги до кібербезпеки радіообладнання, включаючи автентифікацію, шифрування, керування обліковими даними, механізми безпечного завантаження та процеси оновлення мікропрограмного забезпечення.
• EN-18031 2Він зосереджений на заходах захисту конфіденційності для команд, які обробляють персональні дані або дані про місцезнаходження, із заходами щодо мінімізації даних, контролю користувачів та захисту від витоків.
• EN-18031 3Він стосується безпеки пристроїв, що використовуються для цифрових платежів та віртуальних грошей, посилення цілісності транзакцій та захисту від шахрайства.

Навіть за таких умов, простої «постановки галочки» для дотримання стандарту недостатньо . Деякі пункти цих стандартів мають обмеження та не охоплюють усі сценарії. Наприклад, продукти, які дозволяють роботу без обов’язкового пароля, не мають належного батьківського контролю або пропонують додаткові налаштування безпеки, можуть вимагати додаткових заходів або більш ретельної оцінки.

У таких випадках рекомендується залучати нотифікований орган . Ці органи, призначені державами-членами, відповідають за проведення оцінки відповідності, коли потрібна незалежна третя сторона. Комісія веде офіційний список нотифікованих органів, і співпраця з одним із них допомагає забезпечити відповідність продукту всім конкретним вимогам, навіть коли безпосереднього застосування гармонізованих стандартів недостатньо.

RED та Закон про кіберстійкість: збіги та часові рамки

Закон про кіберстійкість (CRA) додає ще один регуляторний рівень до європейської екосистеми кібербезпеки. Його сфера застосування навіть ширша, ніж у Закону RED, оскільки він застосовується практично до всіх «продуктів з цифровими елементами»: чіпів, програмного забезпечення, пристроїв, додатків тощо, охоплюючи весь життєвий цикл, від проектування до оновлень та управління вразливостями.

CRA встановлює основні вимоги, такі як зобов'язання надавати оновлення безпеки протягом кількох років (у проєктах зазначено п'ять років як орієнтир), а також конкретні зобов'язання щодо управління вразливостями, відповідального розкриття інформації, інформування користувачів та звітності про інциденти. Продукти групуються в категорії з різними схемами відповідності: самооцінка для некритичних продуктів, оцінка третьою стороною або застосування стандартів для критичного класу I та оцінка національним органом для критичного класу II.

На сьогоднішній день CRA вже досягла політичної згоди в рамках європейських інституцій , хоча її основні вимоги не застосовуватимуться приблизно через три роки після набрання чинності. Однак зобов'язання повідомляти про вразливості та кіберінциденти можуть набути чинності до кінця 2025 року, що змусить багато компаній посилити свої процеси реагування на інциденти.

Існує явний збіг між RED та CRA: більшість радіообладнання також є продуктами з цифровими компонентами . Крім того, CRA включає ті ж цілі кібербезпеки, що й статті 3(3)(d)-(f) RED. Однак ключовим моментом є часові рамки: зобов'язання згідно з RED та її Делегованим регламентом набудуть чинності 1 серпня 2025 року, тоді як основна частина CRA набуде чинності дещо пізніше.

На практиці це означає, що виробник підключених термостатів, який запускає продукт у вересні 2025 року, повинен буде самостійно оцінити його відповідність принаймні вимогам RED (або покластися на уповноважений орган). Пізніше, коли CRA буде повністю застосовним, їм, можливо, доведеться провести другу оцінку відповідно до цієї системи, хоча очікується певна конвергенція: вимоги RED можуть зрештою стати підмножиною вимог CRA, що сприятиме повторному використанню доказів та документації.

Технічне посилення мереж та пристроїв Інтернету речей

Окрім дотримання нормативних вимог, посилення захисту мережі Інтернету речей вимагає комплексного системного підходу . Захист лише пристрою або лише хмари недостатній: необхідно враховувати апаратне забезпечення, прошивку, підключення, API, серверну частину та операції.

Ключові технічні засоби захисту включають практики, які вже відповідають вимогам EN 18031, ETSI EN 303 645 або NIST 8259:

• Безпечне завантаження та перевірка прошивки: запобігання виконанню несанкціонованого коду під час запуску пристрою, перевірка криптографічних підписів та забезпечення цілісності прошивки.
• Зміцнення інтерфейсівВимкніть непотрібні порти та служби, сегментуйте мережі та захистіть інтерфейси керування за допомогою надійної автентифікації та, де це можливо, обмеженого доступу.
• Шифрування зв'язку: використовувати сучасні протоколи, такі як TLS 1.2+ або 1.3, для всього трафіку даних, включаючи телеметрію, команди керування та канали управління.
• Надійне управління обліковими даними: видалити облікові дані за замовчуванням, примусово внести зміни під час першого використання, запровадити політику надійних паролів та, де це доречно, впровадити механізми багатофакторної автентифікації.
• Автоматичні та безпечні оновлення: встановити процеси оновлення OTA (Over-the-Air) з криптографічною перевіркою, зашифрованими каналами та можливістю відкату у разі збою.
• Безпека API: автентифікація та авторизація всіх сторонніх викликів, обмеження дозволів за принципами найменших привілеїв та аудит доступу до ключових ресурсів.
• Поведінковий моніторинг та аналітикаЗастосовуйте рішення для виявлення аномалій, часто на базі штучного інтелекту, щоб виявити незвичайну поведінку пристроїв, переповнення трафіку або типові моделі шкідливого програмного забезпечення.
• Безпека ланцюга поставок: перевіряти походження апаратних та програмних компонентів, виконувати аналіз прошивки та вимагати гарантій безпеки від постачальників.

Паралельно, конфіденційність має бути інтегрована в природу . Це передбачає не лише шифрування даних, але й мінімізацію зібраної інформації, пропонування чітких налаштувань користувача, уникнення непотрібного відстеження та узгодження обробки даних з принципами GDPR, як за проектом, так і за замовчуванням.

Практичне дотримання RED: ключові процеси та агенти

Для виробників дотримання Директиви про радіочастотні джерела та Делегованого регламенту 2022/30 є не лише інженерним питанням , а й питанням процесів та управління. Бажано мати чітку карту всіх продуктів, на які це впливає, їхньої архітектури, даних, які вони обробляють, та функцій оплати або монетизації, які можуть призвести до застосування вимог статті 3(3)(f).

У багатьох випадках самооцінювання може бути проведене за умови, що продукт розроблено відповідно до гармонізованих стандартів та ведеться надійна технічна документація. Однак для складних сценаріїв або коли стандарт не повністю охоплює варіант використання, звернення до уповноваженого органу забезпечує правову та технічну визначеність.

Поки галузь очікує на формування гармонізованих стандартів та схем оцінки CRA, з'явилися такі ініціативи, як PSA Certified , які пропонують рамки сертифікації, узгоджені з новими нормативними актами (RED, CRA та британський PSTI). PSA Certified Level 1, наприклад, включає спеціальний розділ з нормативних актів, де виробники можуть документувати свою відповідність нормативним вимогам та подавати цю документацію для незалежного розгляду.

Такі схеми, що відповідають передовим світовим практикам, таким як EN 303 645 та NIST 8259 , дозволяють виробникам оригінального обладнання (OEM), постачальникам програмного забезпечення та виробникам мікросхем випереджати майбутнє, інтегруючи відтепер засоби контролю, що вимагаються як RED та CRA, так і іншими національними рамками.

Платформи Інтернету речей, оновлення та управління автопарком

Ще одним ключовим аспектом посилення мереж Інтернету речей є можливість централізованого керування великими парками пристроїв . Без надійної платформи управління застосування виправлень, ротація сертифікатів або виявлення підозрілої поведінки стає практично неможливим у великих масштабах.

У цій галузі комплексні рішення Інтернету речей, що поєднують оркестрацію даних, керування пристроями, оновлення по бездротовій мережі (OTA) та можливості штучного інтелекту для прийняття рішень, стають дедалі важливішими. Такі функції, як взаємна SSL-автентифікація, періодична ротація сертифікатів та безпечні оновлення прошивки, зміцнюють як кінцеву точку, так і мережу.

Деякі платформи також інтегрують інструменти кібербезпеки, специфічні для Інтернету речей, включаючи засоби безпеки під час виконання та безперервний аналіз вразливостей . Це спрощує виявлення поведінкових відхилень у розгорнутих пристроях, виявлення вразливостей як до, так і після розгортання у виробничому середовищі, а також визначення пріоритетів дій щодо пом'якшення наслідків.

Паралельно, ці платформи слугують основою для бізнес-моделей, заснованих на сервітизації : монетизація даних, моделі підписки, передові послуги на основі штучного інтелекту/машинного навчання тощо. Таким чином, зусилля, вкладені у відповідність до RED та покращення безпеки, не лише знижують ризики, але й відкривають двері до нових потоків доходів та пропозицій з доданою вартістю.

Весь цей підхід, якщо його продумати, демонструє чітку відданість безпеці та регулюванню з боку виробників і постачальників технологій, що дедалі більше цінується як кінцевими споживачами, так і регуляторними органами.

Компанії, що надають послуги з тестування, сертифікації та оцінки відповідності, також відіграють значну роль, пропонуючи технічні аудити, лабораторні випробування та навіть спеціалізоване навчання з RED, CRA та інших нормативних актів. Використання їхнього досвіду може значно пришвидшити процес навчання для організацій, які вперше стикаються з цією нормативною базою.

Коротше кажучи, посилення мереж Інтернету речей (IoT) у рамках Директиви про радіочастотні технології (RED) та майбутнього CRA вимагає переосмислення дизайну підключених продуктів, посилення безпечних процесів розробки, моніторингу та оновлення, а також глибокого розуміння того, як кожен пристрій вписується в лабіринт європейських норм. Ті, хто візьметься за цей виклик раніше, будуть у кращому становищі для зниження ризиків, уникнення штрафів і, водночас, скористаються можливістю виділитися завдяки безпеці, довірі та якості на дедалі вимогливішому ринку IoT.