O que o CRA exige dos OEMs?
O CRA exige segurança em todas as etapas: design, implantação, execução e manutenção. Se você reduzir ao seu elemento essencial, tudo se resume a três perguntas. Responda a eles com honestidade e você saberá em que pé está.
Pergunta 1: Sua organização está segura?
Não apenas seus produtos, sua organização. Você consegue atender ao seu mercado, prestar suporte e operar em um padrão que estaria disposto a garantir?
A maneira mais fácil de pensar sobre isso é a sua cultura de cibersegurança. A cibersegurança faz parte da sua organização assim como a segurança se tornou parte da cultura de manufatura há 15 ou 20 anos?
Pergunta 2: O que você entrega é seguro por design e por padrão?
Estes são dois termos do setor que vale a pena diferenciar. É aqui que os OEMs precisam ser capazes de demonstrar que a segurança cibernética foi considerada em todo o processo de design e desenvolvimento, permitindo as etiquetas CE e atendendo à compatibilidade com a IEC 62443.
Seguro por design = Como a máquina é construída
Isso inclui como é projetado, como é conectado, como as pessoas se conectam a ele fisicamente ou remotamente.
Seguro por padrão = o estado em que é enviado
Isso significa que ele é construído com a menor quantidade de coisas desnecessárias e o menor número de ganchos. As máquinas não ficam totalmente expostas, à espera de que alguém na etapa seguinte do processo implemente as medidas de segurança necessárias.
Pergunta 3: Você pode fornecer suporte e atualizações contínuas?
Este é obrigatório. É também o que os OEMs mais consistentemente subestimam.
Você pode verificar se o seu produto está livre de vírus no dia em que o envia, mas como você acompanhará vulnerabilidades novas e emergentes ao longo do tempo? Vulnerabilidades geralmente surgem depois que um invasor coloca as mãos em versões daquele equipamento e procura maneiras de entrar.
O que isso significa é que a sua postura precisa ser sempre ativa. Você sabe o que vendeu e o que os relatórios de inteligência de ameaças e vulnerabilidades estão lhe dizendo sobre isso. E agora você tem o dever de ajudar os clientes para quem vendeu a máquina. Ou isso poderia criar mais problemas.
A matemática que a maioria dos OEMs não fez
Aqui está o outro ponto que você precisa notar na questão três: Esta obrigação acompanha a máquina durante a vida útil do produto ou por até 10 anos enquanto estiver em produção.
Exemplo hipotético: Seu OEM envia cem máquinas por ano. Quando você pegar a janela de dez anos, estará carregando 1.000 máquinas sob obrigação ativa. E cada uma com um número de dispositivos instalados. Digamos 100 desses dispositivos. Isso significa que você precisa ser capaz de rastrear vulnerabilidades e atualizações de produtos mapeadas para mais de 100.000 pontos finais que você enviou para múltiplos locais. Tudo isso em mil máquinas cujas versões e status de vulnerabilidade espera-se que você conheça, acompanhe e relate.
Em seguida, adicione o custo de mão de obra. Escala com a sua dimensão e não é trivial. Os OEMs na Europa que estão lidando com isso nos dizem que o fardo do rastreamento é imenso; e aqueles que encontraram uma maneira de simplificá-lo tiveram uma grande economia de tempo.
A escolha diante dos OEMs
Esse tipo de carga de trabalho gera uma decisão difícil. Você pode considerar isso como o status quo e integrá-lo como parte da capacidade principal do seu produto, função e serviço. Ou você pode tratar isso como um incômodo com uma caixa de seleção e deixar isso para trás.
O segundo caminho é onde os problemas aparecem. Não se engane, o CRA vai mudar o mercado OEM. A questão é de que lado dessa mudança você está.
Um alerta aos fabricantes OEM norte-americanos
É tentador para OEMs e fabricantes de máquinas norte-americanos classificar a CRA como um "problema europeu." Mas é importante acompanhar a trajetória.
Se você vende para a Europa, ou tem clientes que o fazem, o requisito chega até você por meio do pedido de compra.
Se você está baseado estritamente na América do Norte, o governo federal já começou a aumentar os requisitos de segurança cibernética em diversos setores da indústria e do governo, o que sugere que esse requisito continuará a se expandir para outros setores. Independentemente de chegar ou não em um cronograma definido, a direção não é a de menos prestação de contas.
