Cosa chiede il CRA agli OEM?
Il CRA richiede sicurezza in ogni fase: progettazione, implementazione, esecuzione e manutenzione. Se lo si riduce al suo elemento essenziale, si arriva a tre domande. Rispondi loro onestamente e saprai qual è la tua posizione.
Domanda 1: la vostra organizzazione è sicura?
Non solo i vostri prodotti, la vostra organizzazione. Riuscite a soddisfare le esigenze del vostro mercato, a fornire assistenza e a operare secondo standard che sareste disposti a sostenere?
Il modo più semplice per concepirlo è pensare alla vostra cultura della sicurezza informatica. La sicurezza informatica fa parte della vostra organizzazione così come la sicurezza sul lavoro è entrata a far parte della cultura produttiva 15-20 anni fa?
Domanda 2: ciò che distribuite è sicuro per progettazione o per impostazione predefinita?
Questi sono due termini del settore che vale la pena non confondere. È proprio in questo ambito che i produttori OEM devono essere in grado di dimostrare che la sicurezza informatica è stata presa in considerazione durante l’intero processo di progettazione e sviluppo, in modo da ottenere il marchio CE e garantire la conformità alla norma IEC 62443.
Sicurezza fin dalla progettazione = Come è costruita la macchina
Ciò comprende il modo in cui è progettato, come è collegato e come le persone vi si collegano fisicamente o da remoto.
Sicurezza per impostazione predefinita = Lo stato in cui viene fornito
Ciò significa che è realizzato con il minimo indispensabile di elementi superflui e il minor numero possibile di ganci. Le macchine non sono completamente aperte e in attesa che qualcuno a valle le blocchi.
Domanda 3: Potete fornire supporto e aggiornamenti continui?
Questa è obbligatoria. È anche quello che gli OEM sottovalutano più costantemente.
Puoi verificare che il tuo prodotto sia privo di virus il giorno della spedizione, ma come traccerai le vulnerabilità nuove ed emergenti nel tempo? Le vulnerabilità solitamente emergono dopo che un malintenzionato mette le mani su versioni di tali apparecchiature e cerca dei punti di accesso.
Ciò significa che devi mantenere sempre una strategia corretta. Sai cosa hai venduto e cosa ti dicono al riguardo i rapporti sulle minacce e sulle vulnerabilità. E ora hai il dovere di aiutare i clienti a cui hai venduto la macchina. Oppure potrebbe creare ulteriori problemi.
I calcoli che la maggior parte degli OEM non ha fatto
Ecco un altro aspetto da tenere presente riguardo alla domanda numero tre: tale obbligo rimane in vigore per tutta la durata di vita del prodotto o fino a un massimo di 10 anni, fintanto che il prodotto è in produzione.
Esempio ipotetico: il tuo OEM spedisce un centinaio di macchine all'anno. Una volta raggiunto il traguardo dei dieci anni, ti ritrovi a gestire 1.000 macchine con obblighi attivi. E ciascuno con un certo numero di dispositivi installati. Diciamo 100 dispositivi di questo tipo. Ciò significa che devi essere in grado di tracciare le vulnerabilità e gli aggiornamenti dei prodotti mappati su oltre 100.000 endpoint che hai distribuito in più sedi. Il tutto in un migliaio di macchine di cui si presuppone che tu conosca, tenga traccia e segnali le versioni e lo stato di vulnerabilità.
Successivamente, aggiungere il costo della manodopera. Dipende dalle tue dimensioni e non è una cosa da poco. I produttori di apparecchiature originali (OEM) in Europa che si trovano ad affrontare questa situazione ci dicono che l'onere del tracciamento è immenso; e coloro che hanno trovato un modo per semplificarlo hanno ottenuto un notevole risparmio di tempo.
La scelta che si presenta agli OEM
Questo tipo di carico di lavoro impone una decisione difficile. Potete considerarlo lo status quo e integrarlo come parte della capacità principale del vostro prodotto, funzione e servizio. Oppure puoi considerarla una seccatura, spuntando la casella corrispondente e lasciartela alle spalle.
È nel secondo percorso che si presentano i problemi. Non fraintendete, il CRA cambierà il mercato OEM. La domanda è: da quale parte stai in questo cambiamento?
Un avvertimento ai produttori OEM nordamericani
È allettante per gli OEM e i costruttori di macchine nordamericani archiviare il CRA come un "problema europeo." Ma è importante osservare la traiettoria.
Se vendete in Europa, o avete clienti che lo fanno, il requisito vi perviene tramite l'ordine di acquisto.
Se la vostra base è strettamente nordamericana, il governo federale ha già iniziato ad aumentare i requisiti di cybersicurezza in tutti i settori industriali e governativi, il che suggerisce che tali requisiti continueranno a espandersi in altri settori. Che ciò avvenga o meno secondo una tempistica prestabilita, la direzione intrapresa non è quella di una minore responsabilità.
