¿Qué les pide la CRA a los fabricantes de equipo original?
La CRA exige seguridad en cada etapa: diseño, despliegue, ejecución y mantenimiento. Si se lo reduce a su elemento esencial, se limita a tres preguntas. Respóndelas con honestidad y sabrás dónde estás parado.
Pregunta 1: ¿Es segura su organización?
No solo sus productos, sino su organización. ¿Puede usted atender su mercado, brindar soporte y operar con un estándar que esté dispuesto a respaldar?
La forma más sencilla de verlo es como tu cultura de ciberseguridad. ¿Forma la ciberseguridad parte de su organización del mismo modo en que la seguridad se integró a la cultura manufacturera hace 15 o 20 años?
Pregunta 2: ¿Lo que envías es seguro por diseño y por defecto?
Estos son dos términos de la industria que es necesario tener claros. Aquí es donde los OEM deben ser capaces de demostrar que la ciberseguridad se ha considerado durante todo el proceso de diseño y desarrollo, lo que permite obtener la etiqueta CE y cumplir con la norma IEC 62443.
Seguridad desde el diseño: cómo está construida la máquina
Esto incluye cómo está diseñado, cómo está conectado y cómo las personas se conectan a él, ya sea de forma física o remota.
Seguro por defecto = el estado en el que se envía
Esto significa que está construido con la menor cantidad posible de elementos innecesarios y el menor número de hooks. Las máquinas no están totalmente expuestas y esperando a que alguien más adelante las bloquee.
Pregunta 3: ¿Puede proporcionar soporte continuo y actualizaciones?
Este es obligatorio. También es lo que los OEM subestiman de manera más constante.
Puede verificar que su producto esté libre de virus el día que lo envíe, pero ¿cómo rastreará las vulnerabilidades nuevas y emergentes con el tiempo? Las vulnerabilidades suelen surgir después de que un atacante se hace con versiones de ese equipo y busca formas de acceder.
Lo que esto significa es que su postura debe ser una siempre activa. Sabes lo que has vendido y lo que te dicen los informes de inteligencia de amenazas y de vulnerabilidades al respecto. Y ahora tienes el deber de ayudar a los clientes a los que les vendiste la máquina. O podría crear más problemas.
Los cálculos que la mayoría de los OEM no han hecho
Aquí está lo otro que debe tener en cuenta de la pregunta tres: esta obligación acompaña a la máquina durante toda la vida útil del producto o hasta 10 años mientras esté en producción.
Ejemplo hipotético: su OEM envía cien máquinas al año. Para cuando alcance el plazo de diez años, estará manejando 1000 máquinas con obligación activa. Y cada una con un número de dispositivos instalados. Digamos 100 dispositivos de este tipo. Esto significa que debe ser capaz de rastrear las vulnerabilidades y las actualizaciones de producto asignadas a más de 100 000 puntos finales que ha enviado a múltiples ubicaciones. Todo esto en mil máquinas cuyas versiones y estado de vulnerabilidad debe conocer, rastrear e informar.
A continuación, añade el costo de la mano de obra. Este escala según su tamaño y no es algo trivial. Los OEM en Europa que están gestionando esto nos dicen que la carga de seguimiento es inmensa; y quienes han encontrado la manera de simplificarla han obtenido importantes ahorros de tiempo.
La elección que enfrentan los OEM
Este tipo de carga de trabajo plantea una decisión difícil. Puedes tomar esto como el estado actual e integrarlo como parte de la capacidad central de tu producto, función y servicio. O puede tratarlo como una molestia, simplemente marcar una casilla y dejarlo atrás.
El segundo camino es donde aparecen los problemas. No te equivoques, la CRA va a cambiar el mercado OEM. La pregunta es de qué lado de ese cambio estás.
Una advertencia para los fabricantes OEM de América del Norte
Es tentador para los OEM y constructores de maquinaria de Norteamérica encasillar la CRA como un "problema europeo". Pero es importante observar la trayectoria.
Si vendes en Europa o tienes clientes que lo hagan, el requisito te llega a través de la orden de compra.
Si operas estrictamente en Norteamérica, el gobierno federal ya ha comenzado a aumentar los requisitos de ciberseguridad en diversas industrias y sectores gubernamentales, lo que sugiere que dichos requisitos seguirán expandiéndose a otras industrias. Llegue o no en un plazo fijo, la tendencia no es hacia una menor rendición de cuentas.
