¿Qué exige la CRA a los fabricantes de equipos originales (OEM)?
La CRA exige seguridad en cada etapa: diseño, despliegue, ejecución y mantenimiento. Si se lo reduce a su elemento esencial, se limita a tres preguntas. Respóndeles con sinceridad y sabrás cuál es tu posición.
Pregunta 1: ¿Su organización está segura?
No solo sus productos, su organización. ¿Puede usted atender su mercado, brindar soporte y operar con un estándar que esté dispuesto a respaldar?
La forma más sencilla de verlo es como tu cultura de ciberseguridad. ¿La ciberseguridad forma parte de su organización de la misma manera en que la seguridad pasó a formar parte de la cultura de manufactura hace 15 a 20 años?
Pregunta 2: ¿Lo que entregan es seguro por diseño y de forma predeterminada?
Estos son dos términos de la industria que es necesario tener claros. Aquí es donde los OEM deben ser capaces de demostrar que la ciberseguridad se ha considerado durante todo el proceso de diseño y desarrollo, lo que permite obtener la etiqueta CE y cumplir con la norma IEC 62443.
Seguridad desde el diseño: cómo está construida la máquina
Esto incluye cómo está diseñado, cómo está conectado y cómo las personas se conectan a él físicamente o de forma remota.
Seguro por defecto = el estado en el que se envía
Esto significa que está construido con la menor cantidad de cosas innecesarias y la menor cantidad de ganchos. Las máquinas no están totalmente expuestas y esperando a que alguien más adelante las bloquee.
Pregunta 3: ¿Puede brindar soporte y actualizaciones continuos?
Este es obligatorio. También es lo que los OEM subestiman de manera más constante.
Puede verificar que su producto esté libre de virus el día que lo envía, pero ¿cómo realizará el seguimiento de vulnerabilidades nuevas y emergentes con el tiempo? Las vulnerabilidades suelen salir a la luz después de que un atacante consigue versiones de ese equipo y busca formas de infiltrarse.
Lo que esto significa es que su postura debe ser una siempre activa. Sabes lo que has vendido y lo que los informes de inteligencia sobre amenazas y vulnerabilidades te están diciendo al respecto. Y ahora tienes la obligación de ayudar a los clientes a quienes les vendiste la máquina. O podría generar más problemas.
Los cálculos que la mayoría de los OEM no han hecho
Aquí está lo otro que debe tener en cuenta de la pregunta tres: esta obligación acompaña a la máquina durante toda la vida útil del producto o hasta 10 años mientras esté en producción.
Ejemplo hipotético: su OEM envía cien máquinas al año. Para cuando alcance el plazo de diez años, estará manejando 1000 máquinas con obligación activa. Y cada una con un número de dispositivos instalados. Digamos 100 dispositivos de este tipo. Esto significa que debe ser capaz de rastrear las vulnerabilidades y las actualizaciones de producto asignadas a más de 100 000 puntos finales que ha enviado a múltiples ubicaciones. Todo esto en mil máquinas cuyas versiones y estado de vulnerabilidad debe conocer, rastrear e informar.
A continuación, agregue el costo de la mano de obra. Este escala según su tamaño y no es algo trivial. Los OEM en Europa que están gestionando esto nos dicen que la carga de seguimiento es inmensa; y quienes han encontrado la manera de simplificarla han obtenido importantes ahorros de tiempo.
La elección que enfrentan los OEM
Este tipo de carga de trabajo plantea una decisión difícil. Puedes asumir esto como el statu quo e integrarlo como parte de la capacidad central de tu producto, función y servicio. O puede tratarlo como una molestia, simplemente marcar una casilla y dejarlo atrás.
El segundo camino es donde aparecen los problemas. No se equivoquen, la CRA va a cambiar el mercado de los fabricantes de equipos originales. La pregunta es de qué lado de ese cambio estás.
Una advertencia para los fabricantes OEM norteamericanos
Es tentador para los OEM y constructores de maquinaria de Norteamérica encasillar la CRA como un "problema europeo". Pero es importante observar la trayectoria.
Si vende a Europa, o tiene clientes que lo hacen, el requisito le llega a través de la orden de compra.
Si te basas estrictamente en Norteamérica, el gobierno federal ya ha comenzado a aumentar los requisitos de ciberseguridad en diversas industrias y sectores gubernamentales, lo que sugiere que dichos requisitos seguirán expandiéndose a otras industrias. Llegue o no en un plazo fijo, la tendencia no es hacia una menor rendición de cuentas.
