בריטישע רעגולאציעס גנבענען זעלטן א מארש פון דער אי.יו.. אבער דאס איז פונקט וואס איז געשען אין אפריל 2024 ווען דער בריטישער פראדוקט זיכערהייט און טעלעקאמוניקאציע אינפראסטרוקטור (PSTI) אקט, וואס רעגולירט פארבונדענע דעווייסעס, איז געווארן געזעץ. אבער, וואס דער PSTI האט באוויזן אין שנעלקייט, האט ער פארלוירן אין פארנעם. די אי.יו. ווערסיע, דער סייבער ריזיליענס אקט (CRA), איז פיל ברייטער און מער דעטאלירט און וועט שטעלן א הויכע סטאנדארט פאר קאמפלייענס - פארלאנגען א שטרענגן צוגאנג צו סייבער-ריזיקא מענעדזשמענט.
אויף אַ הויך מדרגה, די CRA איז דיזיינד צו פֿאַרבעסערן די זיכערהייט און רילייאַבילאַטי פון קאָננעקטעד טעכנאָלאָגיע און מאַכן עס גרינגער פֿאַר בויערס צו דערקענען הויך-קוואַליטעט פּראָדוקטן דאַנק צו אַ פלישלאַנג מאַרק סכעמע. מיט שטראָף פון אַרויף צו € 15m אָדער 2.5% פון יערלעך ויסקער, ניט-העסקעם איז נישט אַן אָפּציע, און פֿאַר וק פירמס וואָס ווילן צו נוצן די וואַסט אי.יו. מאַרק, עס איז אַ מוזן. צומ גליק, אַדכיראַנס צו בעסטער פיר זיכערהייט סטאַנדאַרדס ווי ISO 27001 וועט טאָן פיל פון די שווער ליפטינג.
וואָס טוט עס דעקן?
די CRA אַפּלייז צו:
- פּראָדוקטן מיט דיגיטאַל עלעמענטן (PDEs) - אין אנדערע ווערטער, ווייכווארג אָדער ייַזנוואַרג וואָס קענען קאַנעקטינג צו אַ מיטל אָדער נעץ
- א PDE ס "ווייַט דאַטן פּראַסעסינג" סאַלושאַנז
- א PDE ס ווייכווארג אָדער ייַזנוואַרג קאַמפּאָונאַנץ וואָס זענען מאַרקאַטאַד סעפּעראַטלי
אין פיר, דאָס מיטל אַ ברייט קייט פון פּראָדוקטן, אַרייַנגערעכנט קלוג דעוויסעס ווי סמאַרטפאָנעס, טאַבלאַץ, פּיסי, טווס און פרידזשידער, וועראַבאַלז און אפילו קינדער ס אידיש. עטלעכע פּראָדוקט קאַטעגאָריעס אַזאַ ווי מעדיציניש דעוויסעס און וועהיקלעס, וואָס זענען שוין רעגיאַלייטאַד, זענען נאָך נישט באדעקט דורך די CRA.
וואָס טאָן איר דאַרפֿן צו טאָן?
די געסעצ - געבונג וועט צולייגן צו מאַניאַפאַקטשערערז, זייער אָטערייזד פארשטייערס, ימפּאָרטערז, דיסטריביאַטערז און רעטאַילערס. רובֿ פון די העסקעם מאַסע וועט פאַלן אויף מאַניאַפאַקטשערערז, וואָס מוזן:
- אַססעסס PDE סייבערסעקוריטי ריסקס און ענשור אַז פּראָדוקטן זענען דיזיינד און מאַניאַפאַקטשערד אין לויט מיט די CRA ס יקערדיק סייבערסעקוריטי רעקווירעמענץ (ECRs)
- ענשור אַז קאַמפּאָונאַנץ סאָורסעד ויסווייניק טאָן ניט קאָמפּראָמיס די PDE ס זיכערהייט
- דאָקומענט און לאַטע וואַלנעראַביליטיז אין אַ בייַצייַטיק שטייגער
- צושטעלן זיכערהייט שטיצן פֿאַר פינף יאָר אָדער די לעבן פון די פּראָדוקט (וועלכער איז קירצער)
- געבנ צו וויסן די אי.יו.
- צושטעלן דיטיילד אינפֿאָרמאַציע וועגן ווי צו ינסטאַלירן פּראָדוקט דערהייַנטיקונגען, וועמען צו באַריכט וואַלנעראַביליטיז און אנדערע פאַבריקאַנט דעטאַילס
- פאַרלייגן אַ קאַנפאָרמאַטי אַססעססמענט פּראָצעס צו באַשטעטיקן CRA העסקעם
אימפארטירער וועלן דארפן זיין באוואוסטזיניק וועגן דעם אויבנדערמאנטן כדי צו מקיים זיין זייערע פליכטן צו זיכער מאכן אז נאר קאמפליאנט PDEs ווערן פארקויפט אין דער אי יו. די CRA האט א ברייטע ליסטע פון ECRs ליסטעד אין אנעקס I פון די לעגיסלאציע, וועלכע זענען דיזיינט צו זיין אפען אנשטאט דעטאל-פאקוסירט כדי זיי זאלן האלטן רעלאוואנט ווי טעכנאלאגיע עוואלוציאנירט. זיי שליסן איין רעקווייערמענטס פאר PDEs צו זיין:
- געשאפן פריי פון באַוווסט עקספּלויטאַבאַל וואַלנעראַביליטיז און מיט אַ זיכער קאַנפיגיעריישאַן דורך פעליקייַט
- דיזיינד און מאַניאַפאַקטשערד מיט "צונעמען" לעוועלס פון סייבערסעקוריטי געבויט אין און אין אַ וועג וואָס וועט רעדוצירן די פּראַל פון זיכערהייט ינסאַדאַנץ
- ביכולת צו באַשיצן קעגן אַנאָטערייזד אַקסעס מיט שטאַרק אָטענטאַקיישאַן
- קענען צו באַשיצן די קאַנפאַדענשיאַלאַטי פון סטאָרד, טראַנסמיטטעד אָדער פּראַסעסט אינפֿאָרמאַציע, אַזאַ ווי דורך ענקריפּשאַן
- קאַנפאָרמאַנט צו דאַטן מינימיזיישאַן פּרינסאַפּאַלז
- דיזיינד און געשאפן מיט אַ לימיטעד באַפאַלן ייבערפלאַך
- דיזיינד צו ענשור וואַלנעראַביליטיז קענען זיין פּאַטשט דורך פּראָדוקט דערהייַנטיקונגען, אויטאָמאַטיש אויב מעגלעך
- געשאפן צוזאמען אַ וואַלנעראַביליטי אַנטפּלעקונג פּאָליטיק
צייט צו פּלאַן
John Moor, הויפּט פון די IoT סעקוריטי וויקיפּעדיע (IoTSF), דערקלערט אַז כאָטש עס איז נישט צייט צו פּאַניק נאָך, מאַניאַפאַקטשערערז וועלן דאַרפֿן צו אָנהייבן מיטאַרבעט מיט זייער צושטעלן קייטן צו באַשליסן ווי נייַע פּראָדוקטן נאָכקומען מיט די CRA.
"פּראָדוקטן אויף די מאַרק זענען נישט פון פאַרנעם פֿאַר איצט אָבער קען דאַרפֿן אַ סוף-פון-לעבן פּלאַן," ער דערציילט ISMS.online. "כאָטש די טיימליין איז בעערעך 36 חדשים, עטלעכע פּראַוויזשאַנז וועט קומען גיכער. פּראָדוקט מאַניאַפאַקטשערערז וועט דאַרפֿן צו זיין געהאָרכיק אויף דעם טאָג, און געגעבן אַז אַלעמען אין די צושטעלן קייט מוזן נעמען אָונערשיפּ, וואָס ווייזט צו פאָרויס פּלאַנירונג.
אין אַדישאַן צו אַרבעטן מיט די פּאַרטנערס פון צושטעלן קייט, מאַניאַפאַקטשערערז זאָל אויך אַססעסס אויב ינערלעך פּראַסעסאַז זענען פּאַסיק פֿאַר די ציל פון אַ ריזיקירן און וואַלנעראַביליטי פאַרוואַלטונג פּערספּעקטיוו, מאָר טענהט.
"דערנאָך מיר באַקומען צו דעם פּראָדוקט זיך. דאָס איז ווו זיכערהייט און פּריוואַטקייט-דורך-פּלאַן פּראַקטיסיז קומען אין ווירקונג. פילע מאַניאַפאַקטשערערז וועלן שוין זיין באַקאַנט מיט די עלעמענטן ווייַטער פון די בעקאַבאָלעדיק פאַנגקשאַנאַליטי, פאָרשטעלונג און מאַכט קאַנסידעריישאַנז, "ער זאגט. “וואו קענען זיי באַקומען הילף? קאָנסולטאַנץ, טעסט לאַבז און אָרגאַנאַזיישאַנז ווי די IoTSF. מיר זענען געגרינדעט אין 2015 און קען זען ווי די וועלט איז געווען כעדאַד. דעריבער, מיר האָבן אַנטיסאַפּייטיד וואָס איז קומענדיק און האָבן עמבעדיד עצה, פּראָצעס און מעטאַדאַלאַדזשיז אין אונדזער גוידעס און מכשירים.
ווי ISO 27001 קענען העלפֿן
געגעבן די לאַנג און פּינטלעך העסקעם רעקווירעמענץ פון די CRA, אָרגאַנאַזיישאַנז קען אויך נוץ פון נאָכגיין שוין געגרינדעט בעסטער פּראַקטיסיז סטאַנדאַרדס וואָס זענען באַטייַטיק צו דעם אַקט. מאָאָר זאגט אַז פּראָדוקט אַנטוויקלונג סטאַנדאַרדס ISO/SAE 21434 פֿאַר אָטאַמאָוטיוו און IEC/ISA 62443 פֿאַר ינדוסטריאַל קאָנטראָל סיסטעמען זענען מיסטאָמע די מערסט באַטייַטיק. אָבער, אנדערע עקספּערץ זאָגן אַז עס איז עטלעכע אָוווערלאַפּ מיט ISO 27001.
אדאם בראַון, מענעדזשינג זיכערהייט קאנסולטאנט ביי בלעק דאק , זאגט ISMS.online אז דאס קען לייגן א "גוטע יסוד" פאר בריטישע טעק פירמעס וואס האבן אן אויג אויף די CRA.
"די סיסטעמאַטיש צוגאַנג פון ISO 27001 צו ריזיקירן פאַרוואַלטונג, זיכער אַנטוויקלונג, צושטעלן קייט זיכערהייט, אינצידענט ענטפער און ליפעסיקלע פאַרוואַלטונג קאָווערס פילע פון די זעלבע געביטן וואָס די CRA עמפאַסייזיז. אָבער, ISO 27001 איז אַימעד צו אָרגאַנאַזיישאַנאַל זיכערהייט, בשעת די CRA איז אַימעד צו יחיד פּראָדוקטן, "ער צוגעגעבן.
"אָרגאַנאַזיישאַנז וואָס האָבן דורכגעקאָכט יסאָ אַקרעדאַטיישאַן וועט פֿאַרשטיין ריזיקירן אַסעסמאַנט; די CRA אויך מאַנדייץ אַ גרונטיק ריזיקירן אַסעסמאַנט פּער פּראָדוקט. זיכער דורך פּלאַן און פעליקייַט: CRA אַנעקסע 1 (ה) ריקווייערז אַז פּראָדוקטן זענען דיזיינד, דעוועלאָפּעד און געשאפן צו באַגרענעצן באַפאַלן סערפאַסיז, אַרייַנגערעכנט פונדרויסנדיק ינטערפייסיז. פּונקט אַזוי, ISO 27001's Annex A.14 דילז מיט זיכער אַנטוויקלונג און שטיצן פֿאַר אינפֿאָרמאַציע סיסטעמען, אַרייַנגערעכנט ינטאַגרייטינג זיכערהייט איבער די ווייכווארג אַנטוויקלונג לייפסייק.
די גוטע נייַעס איז אַז די אַליינמאַנט מיט ISO 27001 וועט נישט בלויז מאַכן מאַניאַפאַקטשערערז הצלחה מיט CRA העסקעם. דאָס קען אויך העלפֿן צו שאַפֿן אַ זיכער יסוד פֿאַר אַ פּלאַץ פון אנדערע ינדאַסטרי רעגיאַליישאַנז און רעקווירעמענץ, פֿון 2 שקל צו די GDPR. עס קען זיין צייט צו נעמען אַ קוק.
