ES produktų pardavėjams – 24 valandos pranešti apie spragas

Nuo rugsėjo 11 d. kiekviena įmonė, ES parduodanti savo prekės ženklu pažymėtą prijungtą įrenginį ar komercinę programinę įrangą, privalo per 24 valandas pranešti institucijoms sužinojusi, kad užpuolikai naudojasi jos gaminio pažeidžiamumu. Pareiga taikoma ir rinkoje jau esantiems gaminiams, įskaitant seniai parduotus (reglamentas, Europos Komisija). Per parą informacija apie įmonės sužinotą ataką gali pasiekti visos ES kibernetinio saugumo institucijas. Tačiau vien pranešimas institucijoms neužtikrina, kad naudotojų įrenginiai bus pataisyti.

Pareiga pranešti – pirmoji įsigaliojanti Kibernetinio atsparumo akto, ES gaminių saugumo įstatymo, dalis. Reikalavimai, kaip gaminiai turi būti projektuojami, bus taikomi nuo 2027 m. gruodžio 11 d. (ENISA).

Kada pradedamas skaičiuoti terminas

Pranešti reikia įvykus vienai iš dviejų aplinkybių. Pirmoji – aktyviai išnaudojamas pažeidžiamumas: yra patikimų įrodymų, kad kas nors piktavališkai ir be gaminio savininko leidimo pasinaudojo jo trūkumu. Antroji – rimtas incidentas, paveikęs gaminio saugumą, net jei pažeidžiamumas nenustatytas. Nyderlandų nacionalinio kibernetinio saugumo centro gairėse nurodoma, kad tyrėjui privačiai pranešus apie klaidą, kai nėra atakos požymių, pareigos pranešti neatsiranda (Nyderlandų nacionalinis kibernetinio saugumo centras).

Atskaita pradedama gamintojui sužinojus apie problemą. Ji nepradedama nuo pirmojo užpuolikų veiksmo ir nelaukiama, kol bus parengta pataisa. Pirminį perspėjimą reikia pateikti per 24 valandas, o išsamesnį pranešimą – per 72 valandas nuo to paties momento, kai gamintojas sužinojo apie problemą, o ne nuo pirmojo pranešimo (ENISA atsakymai į dažniausius klausimus).

Galutinė ataskaita teikiama vėliau. Jos pateikimo terminas priklauso nuo to, ar pranešimą paskatino išnaudojamas pažeidžiamumas, ar incidentas. Gamintojas taip pat turi informuoti paveiktų gaminių naudotojus, kaip apsisaugoti (reglamentas).

Kam siunčiamas pranešimas

Visi pranešimai teikiami per ENISA, ES kibernetinio saugumo agentūros, administruojamą bendrąją pranešimų platformą. Gamintojas siunčia pranešimą tos šalies CSIRT, kurioje yra pagrindinė jo būstinė ES. CSIRT – nacionalinė kibernetinių incidentų valdymo grupė, priimanti pranešimus apie incidentus. Ji perduoda informaciją savo kolegoms visose šalyse, kuriose parduodamas gaminys (ENISA).

Pranešimai neviešinami. Kai kuriuose gali būti aprašyti pažeidžiamumai, kuriems dar nėra pataisos. Todėl išimtiniais atvejais koordinuojanti grupė gali sulaikyti informacijos perdavimą kitoms šalims, tačiau gamintojui nustatyti terminai nesikeičia (reglamentas). Ši nuostata skirta aiškiai rizikai mažinti: kuo plačiau pasklinda informacija apie dar neužtaisytą pažeidžiamumą, tuo didesnė žalos tikimybė.

Kas turi būti pasirengęs

Gamintoju laikoma įmonė, parduodanti gaminį savo prekės ženklu. Nesvarbu, kur yra jos būstinė ir kokio ji dydžio. Taigi apibrėžtis apima ir Vokietijos mašinų gamintojo nuotolinės priežiūros valdiklį, ir Airijos bendrovės komercinę programėlę, net jei ją galima atsisiųsti nemokamai (Silicon Republic).

Didžioji pareigos našta susijusi su veiklos organizavimu. Turi būti žmogus, įgaliotas pastebėti ataką, įvertinti jos reikšmę ir sekmadienio naktį pateikti pranešimą. Rugsėjo 11 d. Vokietijos elektrotechnikos asociacija VDE paragino gamintojus pasirūpinti atakų aptikimo ir informacijos perdavimo procesais (VDE).

Prieš pat sistemos paleidimą Prancūzijos žiniasklaida pranešė, kad pranešimai teikiami rankiniu būdu, o automatizuoto pateikimo sąsajos nėra (ZDNet France). Vadinasi, kiekvienas pranešimas priklauso nuo to, ar tuo metu, kai pradedama skaičiuoti atskaita, yra pasiekiamas atsakingas žmogus.

Terminų nesilaikančioms įmonėms atsakomybę taiko nacionalinės rinkos priežiūros institucijos. Jos gali tirti, ar gaminiai atitinka reikalavimus, ir bausti jų nesilaikančias įmones. Bauda gali siekti 15 mln. € arba 2,5 % pasaulinės apyvartos (reglamentas). Pranešimuose apie sistemos paleidimą paaiškinta, kaip ji veikia, tačiau nepateikta, kiek pranešimų jau gauta (ENISA, Europos Komisija).

Dabar Europoje veikia vienas kanalas, kuriuo institucijos sužino apie gamintojo aptiktą ataką. Informacija pasiekia nacionalines kibernetinių incidentų valdymo grupes visose šalyse, kuriose parduodamas gaminys, taip pat ir apie senesnius, tebeeksploatuojamus gaminius. Šis kanalas paspartina institucijų informavimą, tačiau naudotojai apsaugomi tik tada, kai veikianti pataisa pasiekia jų įrenginį.

ENISA ir Europos Komisija galėtų parodyti, ar greitesni pranešimai padeda greičiau pateikti pataisas. Tam reikėtų skelbti du rodiklius: kiek pranešimų gaunama ir kiek laiko naudotojai laukia, kol pataisa pasiekia jų įrenginius.