Sự sẵn sàng của CRA bắt đầu trước năm 2027: ODOT hiện đang chuẩn bị như thế nào

Khi nào Đạo luật về khả năng phục hồi mạng của EU thực sự bắt đầu?

Đối với nhiều nhà sản xuất, tháng 12 năm 2027 vẫn được coi là ngày quan trọng. Nhưng sự sẵn sàng của CRA không thể bị trì hoãn cho đến lúc đó.

Đạo luật về khả năng phục hồi mạng có hiệu lực vào ngày 10 tháng 12 năm 2024 . Các nghĩa vụ chính của nó sẽ áp dụng từ ngày 11 tháng 12 năm 2027 , trong khi các nghĩa vụ báo cáo theo CRA sẽ bắt đầu áp dụng từ ngày 11 tháng 9 năm 2026 .

Đối với các nhà sản xuất sản phẩm có yếu tố kỹ thuật số, điều này có nghĩa là:

Việc chuẩn bị CRA cần bắt đầu trước năm 2027.

CRA không chỉ là một cuộc kiểm tra tuân thủ cuối cùng

An ninh mạng không thể đơn giản được thêm vào sản phẩm sau khi quá trình phát triển kết thúc.

Đối với các nhà sản xuất tự động hóa công nghiệp, sự sẵn sàng của CRA không chỉ bao gồm việc hoàn thành một thử nghiệm hoặc chuẩn bị một tài liệu kỹ thuật. Nó đòi hỏi phải cân nhắc về an ninh mạng để trở thành một phần của vòng đời sản phẩm—từ yêu cầu và phát triển đến xác minh, xử lý lỗ hổng, cập nhật và tài liệu.

Tại ODOT, đây là cách tiếp cận mà chúng tôi đang thực hiện ngày nay.

Công việc chuẩn bị của chúng tôi đang dần dần kết nối:

· Đánh giá yêu cầu sản phẩm

· Giao diện mạng và phân tích bề mặt tấn công

· Đánh giá rủi ro an ninh mạng

· Kiểm soát phần mềm và phiên bản

· Xác minh và thử nghiệm sản phẩm

· Truy xuất nguồn gốc sản phẩm và phần sụn

· Xử lý lỗ hổng

· Cập nhật phần mềm

· Tài liệu kỹ thuật

Mục tiêu là biến các yêu cầu pháp lý thành các hành động kỹ thuật thực tế và có thể theo dõi được.

Từ yêu cầu sản phẩm đến đánh giá rủi ro an ninh mạng

An ninh mạng bắt đầu sớm hơn nhiều so với quá trình thử nghiệm sản phẩm cuối cùng.

Trong giai đoạn yêu cầu sản phẩm, các cân nhắc về bảo mật cần được xác định và đưa vào quá trình phát triển. Các giao diện bên ngoài—bao gồm các cổng mạng, giao thức truyền thông và các giao diện có thể truy cập khác—cũng cần được hiểu là một phần bề mặt tấn công tiềm tàng của sản phẩm.
Khi các giao diện này được hiểu rõ, các rủi ro an ninh mạng tiềm ẩn có thể được xác định, đánh giá và giải quyết.

Điểm quan trọng không chỉ là đưa ra các quyết định kỹ thuật mà còn đảm bảo rằng lý do và hành động dẫn đến vẫn được ghi lại và theo dõi trong suốt vòng đời của sản phẩm.

An ninh mạng vẫn tiếp tục sau khi sản phẩm rời khỏi nhà máy

Sự sẵn sàng của CRA không kết thúc khi sản phẩm được tung ra thị trường.

Các sản phẩm công nghiệp tiếp tục phát triển thông qua những thay đổi về phần sụn, cập nhật phần mềm và các phiên bản mới. Khi một vấn đề bảo mật hoặc lỗ hổng bảo mật được báo cáo, nhà sản xuất cần có các quy trình để tiếp nhận, đánh giá, khắc phục, xác minh và ghi lại vấn đề.

Điều đó làm cho việc quản lý lỗ hổng trở thành một hoạt động liên tục thay vì nhiệm vụ phát triển một lần.

Cập nhật phần mềm cũng cần được kiểm soát và xác minh. Nhận dạng sản phẩm—bao gồm số sê-ri, phiên bản phần cứng và phiên bản chương trình cơ sở—giúp liên kết các thay đổi, kết quả kiểm tra và các hành động tiếp theo với cấu hình sản phẩm chính xác.

Tài liệu là một phần của vòng đời

Đánh giá rủi ro, hồ sơ phiên bản, báo cáo thử nghiệm, hồ sơ lỗ hổng và hồ sơ cập nhật cùng nhau tạo thành một bằng chứng có thể theo dõi được.

Do đó, tài liệu kỹ thuật không nên được coi là bước hành chính cuối cùng sau khi công việc kỹ thuật hoàn thành. Bản thân nó là một phần của vòng đời sản phẩm.

Đồng thời, các tiêu chuẩn hài hòa có liên quan vẫn đang được phát triển. ODOT tiếp tục tuân theo quy trình tiêu chuẩn hóa và sẽ xem xét cũng như điều chỉnh các hoạt động chuẩn bị của mình khi có các tiêu chuẩn liên quan.

ODOT đang chuẩn bị

CRA không phải là một bài kiểm tra.

Nó không phải là một tài liệu.

Và đó không phải là trách nhiệm của riêng một bộ phận nào.

Đó là vòng đời kết nối các yêu cầu, đánh giá rủi ro, phát triển, xác minh, kiểm soát phiên bản, xử lý lỗ hổng, cập nhật và tài liệu .

Đó là lý do tại sao ODOT đang nỗ lực chuyển các yêu cầu về an ninh mạng thành các quy trình kỹ thuật thực tế và vòng đời sản phẩm.

Sự sẵn sàng của CRA bắt đầu trước năm 2027.

ODOT đang chuẩn bị.

Xem video để biết ODOT đang tiếp cận mức độ sẵn sàng CRA như thế nào trong vòng đời sản phẩm công nghiệp.