Cyber Resilience Act bez tajemnic: ryzyka, regulacje i podejście DevSecOps | #SiiTalks

Czyli w skrócie wielkim mówiąc, producenci chcący pokryć większy obszar możliwością, że tak powiem, wprowadzenia na rynek swojego produktu, jeśli wdrożą zmiany zgodne z CRA, to de facto, że tak powiem, za darmo będą mieli również możliwość rozprowadzania swojego czy wprowadzenia swojego produktu na rynek również w UK. W UK firmy już są przygotowane do tej regulacji? Działa to tam? Tak, ta regulacja weszła troszkę wcześniej. Tak jak powiedziałam, ona jest mniej restrykcyjna i takie było założenie, że w związku z tym, żeby wprowadzić prawo troszeczkę lżejsze, żeby szybciej jakby zabezpieczyć konsumentów, bo tam właśnie na tym rynku ta regulacja dotyczy przede wszystkim konsumentów, czyli odbiorców, że tak powiem B2C.

W związku z powyższym, bodajże w 2024 roku weszła już regulacja na rynek i ona różni się poziomem rygorystyczności. Tam mamy trzy podstawowe wymogi, które są nałożone na producentów produktów i cała reszta, wynikająca również z CRA, to jest dodatek. Czyli jak powiedziałaś, CERA i PSTi, wiele firm może zbudować wspólny core i tylko dostosować go do poszczególnych rynków. Zdecydowanie tak. W rzeczywistości, patrząc z perspektywy naszych klientów, to działa? To jest dobre pytanie. Co to działa? Bo jakby wymogi unijne mówią o tym, jakie są oczekiwania i jakie mają być efekty.

Nie mówią, jak to osiągnąć. Już jak to osiągnąć, to jest pewna logistyczno-organizacyjno... Techniczna sprawa i teraz, żeby faktycznie efekty CRA osiągnąć, no trzeba zastosować pewne modele, pewne standardy, czyli jakby trzeba w organizacji faktycznie wprowadzić pewien proces, który zabezpieczy realizację dyrektywy prawnej. To teraz dotknę tematu pipeline'u, bo to fajnie się tutaj łączy. Ty reprezentujesz świat embedded i ten pipeline embeddedowy wygląda zupełnie inaczej niż w dewelopmencie aplikacji wysokopoziomowych.

Oprócz tego, że oczywiście jakiś taki damage powiedzmy sobie medialny, czyli taki uszczerbek biznesowy jest na pewno olbrzymim faktem dla firm. No ale również wszystkie kary wynikające z zapisów będących już w tej chwili w Cyber Resilience Act. To są kary finansowe bardzo jakby tam dotkliwe. W związku z powyższym jakby no nikt nie uniknie. Od tego etapu zgodności z CRA w związku z powyższym trzeba wdrożyć jakiś model, który pomoże te wszystkie aspekty wykorzystać. No i od strony technicznej właśnie powiedziałabym przede wszystkim o tym, o aktualizacjach, czyli secure update, na przykład over the year.

Oczywiście można to obsłużyć za pomocą wdrożenia zmian wynikających z jakichś standardów, ale tak DevSecOps jest takim modelem, takim konceptem, według którego idąc, zdecydowanie wszystkie te technologiczne aspekty związane z SRA będziemy mieli pokryte. Monika, w naszym formacie dotarliśmy do końca. Bardzo dziękuję Ci za tę rozmowę, bardzo ciekawe dla mnie. Na pewno wykorzystam tę wiedzę w rozmowach z klientami. Myślę, że dla wszystkich osób, które nas słuchają, oglądają dzisiaj również. To jest fajna pigułka wiedzy. Czy chciałbyś coś dodać jeszcze na koniec? Także oczywiście dotknęliśmy de facto tylko czubka góry lodowej. W związku z powyższym zachęcam wszystkich bardzo serdecznie do kontaktu z nami, dlatego że temat jest niezwykle ciekawy, ale też niezwykle złożony.