Lietuvos technologijų gamintojams – nauja 24 valandų taisyklė: apie išnaudojamas spragas privaloma pranešti

Sekite TechNaujienos Google

Maršrutizatorių, išmaniųjų įrenginių ir programinės įrangos gamintojams Lietuvoje atsirado aiškūs terminai, per kuriuos reikia pranešti apie rimtas saugumo problemas. Lapkričio 10 dieną Nacionalinis kibernetinio saugumo centras (NKSC) paaiškino, kaip praktikoje veikia Europos Sąjungos Kibernetinio atsparumo akto (CRA) pranešimų sistema. Jeigu gamintojas sužino apie aktyviai išnaudojamą jo produkto spragą arba didelį incidentą, pirmąjį perspėjimą reikia pateikti ne vėliau kaip per 24 valandas.

Tai nauja pareiga tam tikriems į ES rinką pateikiamų skaitmeninių produktų gamintojams, o ne visiems telefono ar kompiuterio savininkams. Ji galioja nuo rugsėjo 11 dienos ir taikoma ne tik naujiems produktams. Jei saugumo problema aptinkama seniai parduotame įrenginyje ir yra aktyviai išnaudojama, gamintojui taip pat gali atsirasti pranešimo pareiga. Dalis kitų akto reikalavimų įsigalios tik 2027 metų gruodį.

Kaip veiks 24 ir 72 valandų terminai

Pasak NKSC, bendroje ES platformoje CRA-SRP gamintojai teiks pranešimus Europos Sąjungos kibernetinio saugumo agentūrai ENISA ir atsakingai nacionalinei reagavimo į incidentus komandai. Lietuvos atveju šią funkciją atlieka NKSC. Tokia sistema sumažina poreikį dėl vienos spragos atskirai kreiptis į kiekvienos šalies instituciją.

Po ankstyvojo įspėjimo per 24 valandas turi būti pateiktas išsamesnis pranešimas ne vėliau kaip per 72 valandas nuo to paties sužinojimo momento. Tai nėra 72 papildomos valandos po pirmojo pranešimo. Gamintojai gali informaciją tikslinti tyrimo metu, tačiau privalo nedelsti net tada, kai dar nežinomos visos incidento aplinkybės.

Naujausi straipsniai

4 min. skaitymo • prieš 2 val

Ūkininkams gali atsirasti nauji piktžolių naikinimo būdai: DI tyrimams skirta iki 53 mln. dolerių

4 min. skaitymo • prieš 2 val

Britanija investuoja 2,8 mln. svarų į naujus karinius jutiklius: tikslas – aptikti net sunkiai matomus taikinius

4 min. skaitymo • prieš 2 val

NASA parodė, kaip Saturnas dingsta už Mėnulio: įspūdingą kadrą sudaro trys fotografijos

Visi naujausi straipsniai →

Jeigu nustatytas aktyviai išnaudojamas pažeidžiamumas, galutinė ataskaita turi būti pateikta ne vėliau kaip per 14 dienų nuo taisomosios ar riziką mažinančios priemonės prieinamumo. Didelių saugumo incidentų atveju galutinei ataskaitai numatytas mėnuo nuo išsamesnio pranešimo pateikimo. Be to, paveikti naudotojai turi gauti informaciją apie nustatytas grėsmes ir galimas apsaugos priemones.

Ką tai reiškia Lietuvos verslui ir vartotojams

Reikalavimai aktualūs programinės bei techninės įrangos kūrėjams, kurie savo vardu ar prekės ženklu tiekia produktus ES rinkai. Tai gali būti elektronikos, tinklo ryšio, daiktų interneto ar tam tikrų programų gamintojai. Į taikymo sritį kai kuriais atvejais patenka net nemokamai platinami programiniai produktai. Tačiau ne kiekvienai įmonei, kuri tik naudoja tokią įrangą, atsiranda būtent šios pranešimo pareigos.

Gamintojams vertėtų iš anksto nustatyti, kas organizacijoje registruoja ir vertina pažeidžiamumus, kaip priimami pranešimai iš saugumo tyrėjų ir kas siunčia informaciją ENISA platformai. Jeigu įmonė taip pat priklauso pagal Lietuvos kibernetinio saugumo įstatymą reguliuojamiems subjektams, jai gali tekti pranešti pagal abu teisės aktus. Vieno pranešimo pateikimas savaime nepanaikina visų kitų prievolių.

Vartotojams naujoji tvarka reiškia galimybę greičiau sužinoti apie atskleistas rimtas saugumo problemas ir gamintojo siūlomas priemones, bet ne pažadą, kad produktai nuo šiol bus be spragų. Apie naujausias „Android“ spragas, VPN saugumo incidentus ir Lietuvos organizacijų kibernetines pratybas esame rašę anksčiau.

NKSC pabrėžia, kad ankstyvi pranešimai leidžia institucijoms koordinuoti reagavimą dar prieš išaiškinant visą incidento mastą. Lietuvos technologijų sektoriui tai reiškia didesnį dėmesį saugumo procesams per visą produkto gyvavimo ciklą. Ateityje konkurencinį pranašumą galės lemti ne vien produkto funkcijos, bet ir gamintojo gebėjimas greitai ištaisyti problemas bei aiškiai informuoti savo klientus.

Skirtingos saugumo problemos turi būti vertinamos pagal jų faktinį poveikį. Viena yra laboratorijoje aptiktas teorinis pažeidžiamumas, kita – patvirtintas aktyvus jo išnaudojimas, o dar kita – incidentas, kuris sutrikdė produkto saugumą. Būtent tokių situacijų atskyrimas lemia, kokia pareiga pagal Kibernetinio atsparumo aktą atsiranda gamintojui. Ankstyvas pranešimas neturi tapti priežastimi viešai skelbti nepatvirtintas technines detales, kurios galėtų dar labiau padidinti riziką naudotojams.

Praktiškai ši tvarka reiškia ir poreikį turėti atskirą reagavimo planą. Gamintojas turi žinoti, kas priima iš išorės gautus pranešimus, kas patikrina spragos rimtumą, kas rengia pataisą ir kaip apie apsaugos priemones informuojami klientai. Į tokį planą verta įtraukti ir tiekėjus, nes šiuolaikinė programinė įranga dažnai kuriama naudojant kitų organizacijų bibliotekas bei komponentus. Jei jų pažeidžiamumas paveikia galutinį produktą, situaciją reikia greitai įvertinti.

Šaltinis: oficialus pranešimas ir duomenys.