Cyber Resilience Act bez tajemnic: ryzyka, regulacje i podejście DevSecOps | #SiiTalks

Zaczęliśmy być wszyscy bombardowani dosyć wielkimi medialnymi informacjami o atakach hakerskich i o konsekwencjach tych ataków hakerskich. Gigantycznych konsekwencjach dla wielu wielkich firm. Wykonujemy właśnie pracę polegającą na zanalizowaniu i zweryfikowaniu i sprawdzeniu, gdzie są luki, gdzie są może jakieś wąskie gardła, gdzie są blokady, gdzie brakuje tych kroków związanych z security. Cześć! Witam Was wszystkich w kolejnym odcinku Sii Talks, formatu produkowanego przez Sii Polska. Dzisiaj poruszymy ważny temat Cyber Resilience Act, w skrócie CERA, czyli tematyki bardzo gorącej, dotyczącej nas wszystkich, bo związanej z cyberbezpieczeństwem.

Prawdopodobnie to był ten moment, gdzie również organizacje takie jak Unia Europejska uznały, że to już jest czas podnieść świadomość wszystkich konsumentów, jak ważnym tematem jest bezpieczeństwo i jak bardzo prosto to bezpieczeństwo ma przełożenie na każdego człowieka, bo wszyscy korzystamy z pewnych urządzeń, które po prostu dają dostęp do naszych bardzo prywatnych i poufnych danych. W przestrzeni medialnej jest bardzo głośno o bezpieczeństwie, bezpieczeństwie cyfrowym, atakach hakerskich. Gdybyś w 30 sekund powiedziała, czym jest Cyber Resilience Act, CERA? Cyber Resilience Act, czyli rozporządzenie unijne, ma za zadanie wprowadzić harmonizacyjne rozwiązanie dla wszystkich państw Unii Europejskiej dotyczące produktów z elementami cyfrowymi.

Nie bez kozary mówię o Wielkiej Brytanii, bo tu mamy Unię Europejską i CERA, tam mamy PSTi. Jak te firmy, które działają na dwóch rynkach powinny się przygotować do dwóch różnych regulacji? Regulacja w Wielkiej Brytanii jest o wiele mniej rygorystyczna, natomiast jak najbardziej, tak jak mówisz, istnieje i to jest prawda, że jak gdyby wszelkie firmy... Kto chce wejść z produktem na rynek europejski, ale na przykład też na rynek Stanów Zjednoczonych, powinny zainteresować się dodatkowymi regulacjami obowiązującymi w tych krajach. I tak jak mówiłeś, w UK jest to PSTI, na przykład w Stanach mamy Cyber Trust Mark. Natomiast te regulacje czy te oczekiwania w stosunku do producentów w tych pozostałych krajach są mniej restrykcyjne, tam jest mniejszy reżim nałożony, tak?

Czyli w skrócie wielkim mówiąc, producenci chcący pokryć większy obszar możliwością, że tak powiem, wprowadzenia na rynek swojego produktu, jeśli wdrożą zmiany zgodne z CRA, to de facto, że tak powiem, za darmo będą mieli również możliwość rozprowadzania swojego czy wprowadzenia swojego produktu na rynek również w UK. W UK firmy już są przygotowane do tej regulacji? Działa to tam? Tak, ta regulacja weszła troszkę wcześniej. Tak jak powiedziałam, ona jest mniej restrykcyjna i takie było założenie, że w związku z tym, żeby wprowadzić prawo troszeczkę lżejsze, żeby szybciej jakby zabezpieczyć konsumentów, bo tam właśnie na tym rynku ta regulacja dotyczy przede wszystkim konsumentów, czyli odbiorców, że tak powiem B2C.

W związku z powyższym, bodajże w 2024 roku weszła już regulacja na rynek i ona różni się poziomem rygorystyczności. Tam mamy trzy podstawowe wymogi, które są nałożone na producentów produktów i cała reszta, wynikająca również z CRA, to jest dodatek. Czyli jak powiedziałaś, CERA i PSTi, wiele firm może zbudować wspólny core i tylko dostosować go do poszczególnych rynków. Zdecydowanie tak. W rzeczywistości, patrząc z perspektywy naszych klientów, to działa? To jest dobre pytanie. Co to działa? Bo jakby wymogi unijne mówią o tym, jakie są oczekiwania i jakie mają być efekty.

Nie mówią, jak to osiągnąć. Już jak to osiągnąć, to jest pewna logistyczno-organizacyjno... Techniczna sprawa i teraz, żeby faktycznie efekty CRA osiągnąć, no trzeba zastosować pewne modele, pewne standardy, czyli jakby trzeba w organizacji faktycznie wprowadzić pewien proces, który zabezpieczy realizację dyrektywy prawnej. To teraz dotknę tematu pipeline'u, bo to fajnie się tutaj łączy. Ty reprezentujesz świat embedded i ten pipeline embeddedowy wygląda zupełnie inaczej niż w dewelopmencie aplikacji wysokopoziomowych.

Które mówią o zagrożeniach, które na przykład pojawiły się w tych poszczególnych komponentach, o których mówiliśmy, że sprawdzamy sobie przy SBOM-ie. Wiele aspektów, które priorytetyzowane muszą być ze względu na biznes, jaki dana firma czy dany producent prowadzi. Niektóre będą ważniejsze dla jednego producenta, inne ważniejsze dla drugiego producenta. Jakie rady dałabyś firmom, które dopiero teraz zaczynają myśleć o implementacji procesu DevSecOps, CERA, PSTi, albo są na naprawdę niedojrzałym etapie? Chyba trzeba sobie uzmysłowić, że jest to prawo, które wiąże się z poważnymi sankcjami również.

Oprócz tego, że oczywiście jakiś taki damage powiedzmy sobie medialny, czyli taki uszczerbek biznesowy jest na pewno olbrzymim faktem dla firm. No ale również wszystkie kary wynikające z zapisów będących już w tej chwili w Cyber Resilience Act. To są kary finansowe bardzo jakby tam dotkliwe. W związku z powyższym jakby no nikt nie uniknie. Od tego etapu zgodności z CRA w związku z powyższym trzeba wdrożyć jakiś model, który pomoże te wszystkie aspekty wykorzystać. No i od strony technicznej właśnie powiedziałabym przede wszystkim o tym, o aktualizacjach, czyli secure update, na przykład over the year.