Cyber Resilience Act bez tajemnic: ryzyka, regulacje i podejście DevSecOps | #SiiTalks

Zanim przejdziemy do... Kiedy pierwszy raz usłyszałeś o tych unijnych regulacjach? Kiedy usłyszałeś o nowym paradygmacie przesuwania bezpieczeństwa w lewą stronę w procesie wytwarzania oprogramowania? Temat security, a tak naprawdę cyber security de facto został wymuszony przez rynek. Przez rynek dlatego, że oczywiście zaczęliśmy być wszyscy bombardowani dosyć wielkimi medialnymi informacjami o atakach hakerskich i o konsekwencjach tych ataków hakerskich. Gigantycznych konsekwencjach dla wielu wielkich firm, przede wszystkim medialnych, ale również prawnych i tak dalej.

Prawdopodobnie to był ten moment, gdzie również organizacje takie jak Unia Europejska uznały, że to już jest czas podnieść świadomość wszystkich konsumentów, jak ważnym tematem jest bezpieczeństwo i jak bardzo prosto to bezpieczeństwo ma przełożenie na każdego człowieka, bo wszyscy korzystamy z pewnych urządzeń, które po prostu dają dostęp do naszych bardzo prywatnych i poufnych danych. W przestrzeni medialnej jest bardzo głośno o bezpieczeństwie, bezpieczeństwie cyfrowym, atakach hakerskich. Gdybyś w 30 sekund powiedziała, czym jest Cyber Resilience Act, CERA? Cyber Resilience Act, czyli rozporządzenie unijne, ma za zadanie wprowadzić harmonizacyjne rozwiązanie dla wszystkich państw Unii Europejskiej dotyczące produktów z elementami cyfrowymi.

Czyli wszystkich produktów, które mają połączenie z internetem. Czyli wszystkich, za pomocą których można dostać się na przykład do infrastruktury krytycznej albo do danych poufnych poszczególnych osób i organizacji. Realnie, to jest tylko papier? To jest kolejna biurokracja unijna? Czy to jest coś, co każdy z nas, z nas jako przedstawicieli firm w sektorze software'owym, musi zaimplementować i wykorzystać w produktach? To są bardzo, bardzo realne i rygorystyczne oczekiwania w stosunku do producentów, ale nie tylko producentów, do całego łańcucha dostaw związanych z wytworzeniem jakiegoś produktu. Więc absolutnie nie tylko papier, ale również implementacja faktycznych wymogów czy efekty implementacji tych wymogów.

Również do tego, żeby jakby zrozumiała zmianę troszeczkę tego mindsetu przy wytwarzaniu produktu, no a przy okazji oczywiście konieczne będzie zrozumienie, jak gdyby, w którym, na którym etapie w ogóle całego procesu przygotowania poszczególne firmy z poszczególnymi produktami są i ile tak naprawdę pracy przed nimi oraz jak priorytety sobie ustawić, żeby ta praca gdzieś tam harmonijnie przebiegała, tak? I żeby faktycznie osiągnąć ten termin. Tak, cenna uwaga. Wiele firm ma zasięg globalny, nie tylko unijny, wychodzi również poza Unię Europejską. Część produktów jest dedykowanych Unii Europejskiej, część trafia na rynek Wielkiej Brytanii.

W związku z powyższym, bodajże w 2024 roku weszła już regulacja na rynek i ona różni się poziomem rygorystyczności. Tam mamy trzy podstawowe wymogi, które są nałożone na producentów produktów i cała reszta, wynikająca również z CRA, to jest dodatek. Czyli jak powiedziałaś, CERA i PSTi, wiele firm może zbudować wspólny core i tylko dostosować go do poszczególnych rynków. Zdecydowanie tak. W rzeczywistości, patrząc z perspektywy naszych klientów, to działa? To jest dobre pytanie. Co to działa? Bo jakby wymogi unijne mówią o tym, jakie są oczekiwania i jakie mają być efekty.