EL nõuab turvaaugu ärakasutamisest 24 tunni jooksul teatamist

Alates 11. septembrist peab iga ettevõte, kes müüb oma kaubamärgi all internetiühendusega seadet või ärikasutuseks mõeldud tarkvara, teavitama ametiasutusi 24 tunni jooksul pärast seda, kui saab teada, et ründajad kasutavad toote turvaauku ära. Kohustus kehtib ka juba turul olevatele toodetele, sealhulgas ammu müüdud seadmetele (määrus, Euroopa Komisjon). Ettevõtte teave rünnaku kohta võib nüüd jõuda ühe päevaga kogu ELi küberturbeasutusteni. Ametnike teavitamine aga ei paigalda seadmesse parandust.

Teavitamiskohustus on esimene osa küberkerksuse määrusest, ELi toodete turvalisust käsitlevast õigusaktist, mis jõustub. Toodete kavandamise nõudeid hakatakse rakendama alles 11. detsembril 2027 (ENISA).

Mis käivitab tähtaja

Teatada tuleb kahte liiki juhtumitest. Esimene on aktiivselt ära kasutatav haavatavus: usaldusväärsed tõendid selle kohta, et keegi on ilma omaniku loata turvaauku pahatahtlikult kasutanud. Teine on tõsine toote turvalisust mõjutav juhtum, isegi kui konkreetset haavatavust pole tuvastatud. Hollandi riikliku küberturvakeskuse juhiste järgi ei kohusta ettevõtet teatama olukord, kus teadlane annab veast konfidentsiaalselt teada, kuid rünnakust pole märke (Hollandi NCSC).

Ajaarvestus algab hetkest, mil tootja saab probleemist teada. See ei alga rünnaku toimumisest ega oota paranduse valmimist. Esmane hoiatus tuleb saata 24 tunni jooksul, põhjalikum teade aga 72 tunni jooksul. Mõlemat tähtaega arvestatakse alates samast hetkest, mitte esimese teate esitamisest (ENISA korduma kippuvad küsimused).

Lõpparuanne tuleb esitada hiljem. Selle tähtaeg sõltub sellest, kas teavitamise käivitas ära kasutatud turvaauk või turvaintsident. Tootja peab ühtlasi andma mõjutatud kasutajatele juhised enda kaitsmiseks (määrus).

Kuhu teade saadetakse

Kõik teated esitatakse ENISA hallatava ühtse teavitusplatvormi kaudu. Tootja saadab aruande selle riigi CSIRTile, kus asub ettevõtte peamine tegevuskoht ELis. CSIRT on riiklik küberturbe intsidentidele reageerimise üksus, mis võtab selliseid teateid vastu. See edastab info kõigi nende riikide kolleegidele, kus toodet müüakse (ENISA).

Teateid ei avaldata. Osa neist kirjeldab turvaauke, millele pole veel parandust. Erandjuhtudel võib koordineeriv üksus seetõttu info edastamise peatada, kuid tootja teavitamistähtajad jäävad kehtima (määrus). Põhjus on selge: mida laiemalt levib teave parandamata turvaaugu kohta, seda suurem on oht, et seda hakatakse ära kasutama.

Kes peab valmis olema

„Tootja” on määruse järgi ettevõte, kes müüb toodet oma nime all. Ettevõtte peakontor ega suurus ei muuda kohustust. Selle alla kuuluvad nii Saksa masinatootja kaugjuhtimiseks mõeldud hooldusseade kui ka Iiri ettevõtte ärirakendus, isegi kui seda saab tasuta alla laadida (Silicon Republic).

Suurim koormus langeb ettevõtte töökorraldusele. Teate esitamiseks volitatud inimene peab oskama rünnaku ära tunda, olukorda hinnata ja aruande saata ka pühapäeva õhtul. Saksamaa elektrotehnikaühendus VDE kutsus 11. septembril tootjaid üles looma selleks vajalikud tuvastus- ja eskaleerimisprotsessid (VDE).

Prantsuse väljaande kajastus vahetult enne nõude jõustumist leidis, et teated tuleb esitada käsitsi ja automaatseks esitamiseks liidest pole (ZDNet France). Seega sõltub iga teade sellest, kas inimene on tähtaja alguses kättesaadav.

Tähtajast üle läinud ettevõtted peavad vastust andma riiklikele turujärelevalveasutustele. Need kontrollivad, kas tooted vastavad nõuetele, ja võivad rikkumise eest trahvi määrata. Trahv võib ulatuda 15 miljoni euroni või 2,5 protsendini ettevõtte ülemaailmsest käibest (määrus). ENISA ja Euroopa Komisjoni käivitamisteated kirjeldavad korda, kuid ei ütle, kui palju teateid on esitatud (ENISA, Euroopa Komisjon).

Euroopal on nüüd üks kanal, mille kaudu saab tootja teate rünnakust edastada. Info jõuab kõigi nende riikide küberturbeüksusteni, kus toodet müüakse, ka siis, kui tegu on vana tootega, mis on endiselt kasutusel. Ametnikud saavad juhtunust kiiremini teada, kuid kasutaja on kaitstud alles siis, kui toimiv parandus tema seadmesse jõuab.

ENISA ja Euroopa Komisjon saaksid hinnata, kas kiirem teavitamine toob kaasa ka kiiremad parandused. Selleks tuleks avaldada kaks arvu: kui palju teateid esitatakse ja kui kaua peavad kasutajad parandust ootama.