ΕΕ: Εταιρείες ειδοποιούν για ευπάθειες εντός 24 ωρών

Από τις 11 Σεπτεμβρίου, κάθε εταιρεία που διαθέτει στην αγορά της ΕΕ συνδεδεμένη συσκευή ή εμπορικό λογισμικό με τη δική της επωνυμία οφείλει να ενημερώσει τις αρχές μέσα σε 24 ώρες από τη στιγμή που μαθαίνει ότι επιτιθέμενοι εκμεταλλεύονται ευπάθεια του προϊόντος. Η υποχρέωση καλύπτει και προϊόντα που κυκλοφορούν ήδη, ακόμη και συσκευές που έχουν πωληθεί εδώ και χρόνια (Κανονισμός, Ευρωπαϊκή Επιτροπή). Έτσι, οι πληροφορίες μιας εταιρείας για μια επίθεση μπορούν να φτάσουν μέσα σε μία ημέρα στις αρμόδιες υπηρεσίες κυβερνοασφάλειας σε όλη την ΕΕ. Η ειδοποίηση προς τις αρχές, όμως, δεν σημαίνει ότι η διόρθωση έχει φτάσει στις συσκευές των χρηστών.

Η υποχρέωση αναφοράς είναι το πρώτο μέρος της Πράξης για την Κυβερνοανθεκτικότητα, του ευρωπαϊκού νόμου για την ασφάλεια των προϊόντων, που τίθεται σε ισχύ. Οι κανόνες για τον τρόπο σχεδιασμού των προϊόντων θα εφαρμοστούν από τις 11 Δεκεμβρίου 2027 (Οργανισμός της ΕΕ για την Κυβερνοασφάλεια).

Πότε αρχίζει να μετρά η προθεσμία

Δύο είδη συμβάντων ενεργοποιούν την υποχρέωση αναφοράς. Το πρώτο είναι μια ενεργά εκμεταλλεύσιμη ευπάθεια: πρέπει να υπάρχουν αξιόπιστες ενδείξεις ότι κάποιος αξιοποίησε κακόβουλα ένα κενό ασφαλείας χωρίς εξουσιοδότηση. Το δεύτερο είναι ένα σοβαρό περιστατικό που πλήττει την ασφάλεια του προϊόντος, ακόμη και αν δεν έχει εντοπιστεί συγκεκριμένη ευπάθεια. Αν ένας ερευνητής επισημάνει ιδιωτικά ένα σφάλμα, χωρίς ενδείξεις επίθεσης, δεν χρειάζεται αναφορά, σύμφωνα με τις οδηγίες του ολλανδικού Εθνικού Κέντρου Κυβερνοασφάλειας.

Η αντίστροφη μέτρηση αρχίζει όταν ο κατασκευαστής πληροφορηθεί το πρόβλημα· δεν ξεκινά από την πρώτη επίθεση και δεν περιμένει να ετοιμαστεί η διόρθωση. Η αρχική προειδοποίηση πρέπει να σταλεί μέσα σε 24 ώρες και η αναλυτικότερη ενημέρωση μέσα σε 72 ώρες, με αφετηρία την ίδια στιγμή και όχι την πρώτη αναφορά (Συχνές ερωτήσεις του Οργανισμού της ΕΕ για την Κυβερνοασφάλεια).

Η τελική αναφορά υποβάλλεται αργότερα, με προθεσμία που εξαρτάται από το αν προηγήθηκε εκμετάλλευση ευπάθειας ή άλλο περιστατικό. Ο κατασκευαστής οφείλει επίσης να ενημερώσει τους χρήστες που επηρεάζονται για το πώς μπορούν να προστατευτούν (Κανονισμός).

Πού αποστέλλεται η ειδοποίηση

Όλες οι αναφορές υποβάλλονται μέσω της πλατφόρμας Single Reporting Platform, την οποία διαχειρίζεται ο Οργανισμός της ΕΕ για την Κυβερνοασφάλεια. Ο κατασκευαστής απευθύνει την αναφορά στην εθνική ομάδα αντιμετώπισης περιστατικών κυβερνοασφάλειας της χώρας όπου βρίσκεται η κύρια έδρα του στην ΕΕ. Η ομάδα αυτή παραλαμβάνει τις ειδοποιήσεις για κυβερνοπεριστατικά και τις διαβιβάζει στις αντίστοιχες ομάδες κάθε χώρας όπου πωλείται το προϊόν (Οργανισμός της ΕΕ για την Κυβερνοασφάλεια).

Οι αναφορές δεν δημοσιοποιούνται, ενώ ορισμένες θα περιγράφουν ευπάθειες για τις οποίες δεν υπάρχει ακόμη λύση. Σε εξαιρετικές περιπτώσεις, η ομάδα που συντονίζει την ενημέρωση μπορεί να καθυστερήσει τη διαβίβασή της σε άλλες χώρες, αλλά οι προθεσμίες του κατασκευαστή εξακολουθούν να ισχύουν (Κανονισμός). Η πρόβλεψη αντιμετωπίζει έναν σαφή κίνδυνο: όσο διαδίδονται οι λεπτομέρειες μιας ευπάθειας που παραμένει χωρίς διόρθωση, τόσο πιο επικίνδυνη γίνεται.

Ποιοι πρέπει να είναι έτοιμοι

«Κατασκευαστής» θεωρείται όποιος διαθέτει το προϊόν με το δικό του όνομα. Δεν έχει σημασία ούτε η έδρα ούτε το μέγεθος της εταιρείας. Στον ορισμό εμπίπτουν τόσο ένας γερμανικός κατασκευαστής μηχανημάτων που διαθέτει ελεγκτή για απομακρυσμένη συντήρηση όσο και μια ιρλανδική εταιρεία με εμπορική εφαρμογή, ακόμη κι αν η εφαρμογή διατίθεται δωρεάν (Silicon Republic).

Το μεγαλύτερο βάρος είναι οργανωτικό. Κάποιος που έχει την αρμοδιότητα να υποβάλει αναφορά πρέπει να μπορεί να εντοπίσει μια επίθεση, να αξιολογήσει τη σοβαρότητά της και να ενημερώσει τις αρχές ακόμη και ένα βράδυ Κυριακής. Στις 11 Σεπτεμβρίου, η γερμανική ένωση του κλάδου της ηλεκτρολογίας και των ηλεκτρονικών κάλεσε τους παραγωγούς να οργανώσουν διαδικασίες εντοπισμού και κλιμάκωσης των περιστατικών (Γερμανική Ένωση Ηλεκτρολογίας και Ηλεκτρονικών).

Λίγο πριν από την έναρξη της υποχρέωσης, γαλλικά δημοσιεύματα ανέφεραν ότι οι αναφορές υποβάλλονταν χειροκίνητα, χωρίς δυνατότητα αυτοματοποιημένης αποστολής (ZDNet France). Επομένως, κάθε αναφορά εξαρτάται από το αν υπάρχει διαθέσιμος άνθρωπος όταν αρχίσει να μετρά η προθεσμία.

Οι εταιρείες που δεν τηρούν τις προθεσμίες λογοδοτούν στις εθνικές αρχές εποπτείας της αγοράς, δηλαδή στις ρυθμιστικές αρχές που ελέγχουν αν τα προϊόντα συμμορφώνονται με τους κανόνες και μπορούν να επιβάλουν πρόστιμα. Οι κυρώσεις μπορεί να φτάσουν τα 15 εκατ. ευρώ ή το 2,5 τοις εκατό του παγκόσμιου κύκλου εργασιών (Κανονισμός). Οι ανακοινώσεις για την έναρξη της διαδικασίας εξηγούν πώς λειτουργεί, αλλά δεν αναφέρουν πόσες αναφορές έχουν υποβληθεί (Οργανισμός της ΕΕ για την Κυβερνοασφάλεια, Ευρωπαϊκή Επιτροπή).

Η Ευρώπη διαθέτει πλέον έναν ενιαίο δίαυλο για τις πληροφορίες που έχουν οι κατασκευαστές σχετικά με επιθέσεις. Μέσω αυτού ενημερώνονται οι εθνικές ομάδες κυβερνοασφάλειας όλων των χωρών όπου πωλείται το προϊόν, ακόμη κι αν πρόκειται για παλαιότερη συσκευή που εξακολουθεί να χρησιμοποιείται. Ο δίαυλος επιταχύνει την ενημέρωση των αρχών· οι χρήστες προστατεύονται μόνο όταν μια λειτουργική διόρθωση φτάσει στη συσκευή τους.

Ο Οργανισμός της ΕΕ για την Κυβερνοασφάλεια και η Ευρωπαϊκή Επιτροπή μπορούν να δείξουν αν οι ταχύτερες ειδοποιήσεις οδηγούν και σε ταχύτερες διορθώσεις. Για να το κάνουν, θα χρειαστεί να δημοσιεύσουν δύο στοιχεία: πόσες αναφορές λαμβάνουν και πόσο περιμένουν οι χρήστες μέχρι να φτάσει σε αυτούς μια διόρθωση.