CRA는 OEM에게 무엇을 요구합니까?
CRA는 모든 단계에서 보안을 요구합니다: 설계, 배포, 실행 및 유지 관리. 이를 본질적인 요소로 축약하면, 세 가지 질문으로 귀결됩니다. 정직하게 대답하면 당신의 위치를 알 수 있습니다.
질문 1: 귀하의 조직은 안전합니까?
제품뿐만 아니라 귀하의 조직도 마찬가지입니다. 시장에 서비스를 제공하고, 지원을 제공하며, 자신 있게 책임질 수 있는 수준으로 운영할 수 있습니까?
가장 쉽게 생각하는 방법은 바로 여러분의 사이버 보안 문화입니다. 사이버 보안이 15~20년 전 안전이 제조업 문화의 일부가 되었던 것처럼 귀하의 조직에서도 하나의 문화로 자리잡고 있습니까?
질문 2: 귀하가 제공하는 제품은 설계 및 기본 설정부터 보안이 보장됩니까?
이 두 가지는 구분해서 알아둘 가치가 있는 업계 용어입니다. 이것이 바로 OEM들이 설계 및 개발 과정 전반에 걸쳐 사이버 보안이 고려되었음을 입증할 수 있어야 하는 이유입니다. 이를 통해 CE 마킹을 받고 IEC 62443 규정 준수를 충족할 수 있습니다.
설계 단계부터 보안 적용 = 장비가 제조되는 방식
여기에는 그것이 어떻게 설계되었는지, 어떻게 연결되어 있는지, 사람들이 물리적으로 또는 원격으로 어떻게 접속하는지가 포함됩니다.
기본적으로 보안 적 = 출고 시 상태
이는 불필요한 요소와 훅이 최소한으로 사용되어 만들어졌다는 뜻입니다. 기계들이 완전히 열려 있고 누군가가 나중에 와서 잠그기를 기다리고 있는 것은 아닙니다.
질문 3: 지속적인 지원과 업데이트를 제공할 수 있습니까?
이것은 의무 사항입니다. 이것이 바로 OEM들이 가장 일관되게 과소평가하는 부분이기도 합니다.
제품을 출하하는 날 바이러스가 없다는 것은 확인할 수 있지만, 시간이 지나면서 새롭게 등장하는 취약점들은 어떻게 추적하시겠습니까? 취약점은 보통 공격자가 해당 장비의 버전을 입수한 후 침입 방법을 모색하면서 드러납니다.
이 말은 당신의 자세가 항상 유지되어야 한다는 뜻입니다. 무엇을 판매했는지, 그리고 위협 인텔리전스와 취약점 보고서가 그것에 대해 무엇을 말하고 있는지 알고 있습니다. 이제 귀사는 그 기계를 판매한 고객을 지원할 의무가 있습니다. 아니면 추가적인 문제를 일으킬 수도 있습니다.
대부분의 OEM이 계산하지 않은 수치
질문 3에서 주의해야 할 또 다른 점은 다음과 같습니다: 이 의무는 제품의 수명 동안 또는 생산 중인 경우 최대 10년까지 방비에 적용됩니다.
가상의 예시: 귀사의 OEM은 연간 100대의 장비를 출하합니다. 10년이 지날 즈음이면, 1,000대의 장비를 적극적으로 관리해야 하는 상황에 놓이게 됩니다. 그리고 각각에는 설치된 장치 수가 포함됩니다. 그런 장치가 100대라고 가정해 보겠습니다. 이는 귀사가 여러 곳에 출하한 10만 개가 넘는 엔드포인트에 대해 취약점과 제품 업데이트를 추적할 수 있어야 한다는 것을 의미합니다. 귀사가 파악하고 추적하며 보고해야 하는 버전과 취약점 상태를 가진 천 대의 모든 기계에서 말이죠.
다음으로, 인건비를 추가하세요. 이는 귀사의 규모에 따라 달라지며, 결코 사소하지 않습니다. 이 문제를 해결하고 있는 유럽의 OEM들은 추적 부담이 엄청나다고 말합니다. 그리고 이를 간소화하는 방법을 찾은 기업들은 상당한 시간 절감을 경험했습니다.
OEM들이 직면한 선택
이러한 업무량은 어려운 결정을 내리게 만듭니다. 이를 현상 유지로 받아들이고 귀사의 제품, 기능 및 서비스의 핵심 역량의 일부로 통합할 수 있습니다. 아니면 그것을 귀찮은 일로 여기고 확인란 하나로 처리한 뒤 잊어버릴 수도 있습니다.
두 번째 경로에서 문제가 나타납니다. 착각하지 마세요, CRA는 OEM 시장을 변화시킬 것입니다. 문제는 당신이 그 변화의 어느 편에 서 있느냐는 것입니다.
북미 OEM 제조업체에 대한 경고
북미의 OEM 및 기계 제조업체들은 CRA를 "유럽만의 문제"로 치부하고 싶어할 수 있습니다. 하지만 궤적을 지켜보는 것이 중요합니다.
유럽에 판매하거나 유럽에 판매하는 고객이 있다면, 이 요구 사항은 구매 주문서를 통해 귀사에게 적용됩니다.
귀하가 북미에만 기반을 두고 있다면, 연방 정부는 이미 다양한 산업 및 정부 부문 전반에 걸쳐 사이버 보안 요구 사항을 강화하기 시작했으며, 이는 이러한 요구 사항이 다른 산업으로도 계속 확대될 것임을 시사합니다. 정해진 일정에 따라 시행되든 그렇지 않든, 책임이 줄어드는 방향은 아닙니.
