ความพร้อมของ CRA เริ่มต้นก่อนปี 2570: ODOT กำลังเตรียมตัวอย่างไร

พระราชบัญญัติความยืดหยุ่นทางไซเบอร์ของสหภาพยุโรปจะเริ่มเมื่อใด

สำหรับผู้ผลิตหลายราย ธันวาคม 2027 ยังคงเป็นวันสำคัญ แต่ความพร้อมของ CRA ไม่สามารถเลื่อนออกไปจนกว่าจะถึงตอนนั้นได้

พระราชบัญญัติ Cyber ​​Resilience Act มีผลบังคับใช้เมื่อ วันที่ 10 ธันวาคม 2024 ภาระผูกพันหลักจะมีผลตั้งแต่ วันที่ 11 ธันวาคม 2027 ในขณะที่ภาระหน้าที่ในการรายงานภายใต้ CRA จะเริ่มมีผลตั้งแต่ วันที่ 11 กันยายน 2026

สำหรับผู้ผลิตผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล นี่หมายถึงสิ่งหนึ่ง:

การเตรียมการของ CRA จะต้องเริ่มก่อนปี 2570

CRA เป็นมากกว่าการตรวจสอบการปฏิบัติตามข้อกำหนดขั้นสุดท้าย

ไม่สามารถเพิ่มความปลอดภัยทางไซเบอร์ให้กับผลิตภัณฑ์ได้หลังจากการพัฒนาเสร็จสิ้นแล้ว

สำหรับผู้ผลิตระบบอัตโนมัติทางอุตสาหกรรม ความพร้อมของ CRA เกี่ยวข้องกับมากกว่าการทดสอบหรือการเตรียมเอกสารทางเทคนิคเพียงฉบับเดียว จำเป็นต้องมีการพิจารณาด้านความปลอดภัยทางไซเบอร์เพื่อเป็นส่วนหนึ่งของวงจรชีวิตผลิตภัณฑ์ ตั้งแต่ข้อกำหนดและการพัฒนาไปจนถึงการตรวจสอบ การจัดการช่องโหว่ การอัปเดต และเอกสารประกอบ

ที่ ODOT นี่คือแนวทางที่เรากำลังดำเนินการอยู่ในปัจจุบัน

งานเตรียมการของเรากำลังเชื่อมโยงกันอย่างต่อเนื่อง:

· การทบทวนความต้องการผลิตภัณฑ์

· อินเทอร์เฟซเครือข่ายและการวิเคราะห์พื้นผิวการโจมตี

· การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

· ซอฟต์แวร์และการควบคุมเวอร์ชัน

· การตรวจสอบและทดสอบผลิตภัณฑ์

· การตรวจสอบย้อนกลับผลิตภัณฑ์และเฟิร์มแวร์

· การจัดการกับช่องโหว่

· อัพเดตซอฟต์แวร์

· เอกสารทางเทคนิค

วัตถุประสงค์คือเพื่อเปลี่ยนข้อกำหนดด้านกฎระเบียบให้เป็นการดำเนินการทางวิศวกรรมที่ใช้งานได้จริงและตรวจสอบย้อนกลับได้

ตั้งแต่ข้อกำหนดผลิตภัณฑ์ไปจนถึงการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

การรักษาความปลอดภัยทางไซเบอร์เริ่มต้นเร็วกว่าการทดสอบผลิตภัณฑ์ขั้นสุดท้ายมาก

ในระหว่างขั้นตอนความต้องการผลิตภัณฑ์ จำเป็นต้องระบุข้อพิจารณาด้านความปลอดภัยและรวมเข้ากับกระบวนการพัฒนา อินเทอร์เฟซภายนอก รวมถึงพอร์ตเครือข่าย โปรโตคอลการสื่อสาร และอินเทอร์เฟซที่เข้าถึงได้อื่นๆ จำเป็นต้องเข้าใจว่าเป็นส่วนหนึ่งของพื้นที่การโจมตีที่อาจเกิดขึ้นของผลิตภัณฑ์
เมื่อเข้าใจอินเทอร์เฟซเหล่านี้แล้ว ความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้นก็สามารถระบุ ประเมิน และแก้ไขได้

จุดสำคัญไม่เพียงแต่ในการตัดสินใจทางวิศวกรรมเท่านั้น แต่ยังต้องแน่ใจว่าการให้เหตุผลและการดำเนินการที่เป็นผลนั้นยังคงมีการจัดทำเป็นเอกสารและตรวจสอบย้อนกลับได้ตลอดวงจรชีวิตผลิตภัณฑ์

การรักษาความปลอดภัยทางไซเบอร์ดำเนินต่อไปหลังจากที่ผลิตภัณฑ์ออกจากโรงงาน

ความพร้อมของ CRA ไม่ได้สิ้นสุดเมื่อมีการเปิดตัวผลิตภัณฑ์

ผลิตภัณฑ์อุตสาหกรรมมีการพัฒนาอย่างต่อเนื่องผ่านการเปลี่ยนแปลงเฟิร์มแวร์ การอัปเดตซอฟต์แวร์ และเวอร์ชันใหม่ เมื่อมีการรายงานปัญหาด้านความปลอดภัยหรือช่องโหว่ ผู้ผลิตจำเป็นต้องมีกระบวนการเพื่อรับ ประเมิน แก้ไข ตรวจสอบ และจัดทำเอกสารเกี่ยวกับปัญหา

นั่นทำให้การจัดการช่องโหว่เป็นกิจกรรมต่อเนื่องแทนที่จะเป็นงานพัฒนาเพียงครั้งเดียว

การอัปเดตซอฟต์แวร์ยังต้องได้รับการควบคุมและตรวจสอบด้วย ข้อมูลประจำตัวของผลิตภัณฑ์ รวมถึงหมายเลขซีเรียล เวอร์ชันฮาร์ดแวร์ และเวอร์ชันเฟิร์มแวร์ ช่วยเชื่อมโยงการเปลี่ยนแปลง ผลการทดสอบ และการดำเนินการที่ตามมากับการกำหนดค่าผลิตภัณฑ์ที่ถูกต้อง

เอกสารประกอบเป็นส่วนหนึ่งของวงจรการใช้งาน

การประเมินความเสี่ยง บันทึกเวอร์ชัน รายงานการทดสอบ บันทึกช่องโหว่ และบันทึกการอัปเดตร่วมกันก่อให้เกิดหลักฐานที่สามารถตรวจสอบย้อนกลับได้

ดังนั้นเอกสารด้านเทคนิคจึงไม่ควรถือเป็นขั้นตอนการจัดการขั้นสุดท้ายหลังจากงานวิศวกรรมเสร็จสิ้น มันเป็นส่วนหนึ่งของวงจรชีวิตผลิตภัณฑ์นั่นเอง

ในเวลาเดียวกัน มาตรฐานที่สอดคล้องกันที่เกี่ยวข้องยังคงมีการพัฒนา ODOT ยังคงปฏิบัติตามกระบวนการกำหนดมาตรฐาน และจะทบทวนและจัดกิจกรรมการเตรียมการให้เป็นไปตามมาตรฐานที่เกี่ยวข้อง

ODOT กำลังเตรียมตัวตอนนี้

CRA ไม่ใช่การทดสอบเดียว

มันไม่ใช่เอกสารฉบับเดียว

และไม่ใช่ความรับผิดชอบของแผนกเดียวเท่านั้น

เป็น ข้อกำหนดในการเชื่อมต่อวงจรชีวิต การประเมินความเสี่ยง การพัฒนา การตรวจสอบ การควบคุมเวอร์ชัน การจัดการช่องโหว่ การอัปเดต และเอกสาร ประกอบ

นั่นคือเหตุผลที่ ODOT ดำเนินการแปลข้อกำหนดด้านความปลอดภัยทางไซเบอร์เป็นวิศวกรรมเชิงปฏิบัติและกระบวนการวงจรชีวิตผลิตภัณฑ์

ความพร้อมของ CRA เริ่มก่อนปี 2570

ODOT กำลังเตรียมตัวตอนนี้

ชมวิดีโอเพื่อดูว่า ODOT เข้าใกล้ความพร้อมของ CRA ตลอดวงจรชีวิตผลิตภัณฑ์ทางอุตสาหกรรมอย่างไร