Gamintojams paaiškino, kaip pranešti apie skaitmeninių produktų saugumo spragas

Rudens pradžioje Europos Sąjungoje (ES) pradėti taikyti Kibernetinio atsparumo akto (angl. Cyber Resilience Act, CRA) reikalavimai skaitmeninių produktų gamintojams atnešė ne tik naujų atsakomybių, bet ir praktinių klausimų. Kaip pranešti apie produkto pažeidžiamumą ar kilusį incidentą? Nacionalinis kibernetinio saugumo centras prie KAM (NKSC) paaiškino, kaip veikia pranešimų platforma ir kokių terminų būtina laikytis.

„Kibernetinio saugumo spragos gali būti išnaudojamos ne tik siekiant įsilaužti į konkretų įrenginį, bet ir patekti į organizacijų tinklus, perimti duomenis ar sutrikdyti paslaugų veikimą. Todėl svarbu, kad informacija apie aktyviai išnaudojamus pažeidžiamumus kuo greičiau pasiektų už kibernetinį saugumą atsakingas institucijas. Naujoji pranešimų teikimo tvarka leidžia operatyviau keistis informacija ES mastu ir koordinuoti veiksmus, padedančius sumažinti galimą žalą“, – sako NKSC Kibernetinio saugumo operacijų valdymo departamento direktorius Grigorij Strelec.

Kad skaitmeninių produktų gamintojams nereikėtų atskirai kreiptis į skirtingų ES valstybių institucijas, Europos Sąjungos kibernetinio saugumo agentūra (ENISA) sukūrė bendrą pranešimų teikimo platformą CRA-SRP. Joje gamintojai gali pateikti privalomus pranešimus apie aktyviai išnaudojamus jų produktų pažeidžiamumus ir didelį poveikį saugumui turinčius incidentus.

Naujoji pranešimų teikimo pareiga aktuali programinės ir techninės įrangos gamintojams, kurie savo vardu ar prekių ženklu tiekia produktus ES rinkai. Tai gali būti tiek išmaniųjų įrenginių, maršrutizatorių ar kitų prie interneto jungiamų technologijų gamintojai, tiek programinės įrangos kūrėjai. Reikalavimai apima ir nemokamai platinamus produktus, jeigu jie patenka į CRA taikymo sritį.

Pranešimų platforma užtikrina, kad pateikta informacija pasiektų ENISA ir atsakingą nacionalinę reagavimo į kompiuterinius saugumo incidentus komandą (CSIRT). Lietuvoje šią funkciją atlieka NKSC, kuris gavęs tokius pranešimus gali prisidėti prie pažeidžiamumų bei incidentų valdymo koordinavimo.

„Svarbiausia, kad gamintojai nedelstų pranešti apie nustatytas grėsmes, net jei dar nėra žinomos visos aplinkybės. Informaciją galima teikti etapais, ją tikslinant ir papildant tyrimo metu. Tai leidžia atsakingoms institucijoms anksčiau sužinoti apie galimas grėsmes ir prireikus imtis koordinuotų veiksmų joms suvaldyti“, – paaiškina G. Strelec.

Pagal CRA gamintojas apie aktyviai išnaudojamą jo produkto pažeidžiamumą arba didelį incidentą, darantį poveikį produkto saugumui, turi pranešti nedelsdamas: ankstyvąjį perspėjimą pateikti ne vėliau kaip per 24 valandas, o išsamesnį pranešimą – ne vėliau kaip per 72 valandas nuo sužinojimo. Abu terminai skaičiuojami nuo to paties sužinojimo momento. Galutinė ataskaita apie pažeidžiamumą pateikiama ne vėliau kaip per 14 dienų nuo taisomosios ar riziką mažinančios priemonės prieinamumo, o apie didelį incidentą – per mėnesį nuo išsamesnio pranešimo apie incidentą pateikimo.

„Jeigu gamintojas kartu yra ir pagal Kibernetinio saugumo įstatymą (KSĮ) reguliuojamas subjektas, apie kilusį incidentą jam gali tekti pranešti pagal abu teisės aktus. Pranešimas per ENISA platformą taip pat nepakeičia pareigos pranešti apie didelį kibernetinį incidentą pagal KSĮ reikalavimus“, – pabrėžia NKSC Kibernetinio saugumo operacijų valdymo departamento direktorius.

Pasak G. Strelec, pranešimų teikimo pareiga taikoma ir anksčiau ES rinkai pateiktiems produktams. Jeigu gamintojas nuo šių metų rudens sužino apie aktyvų net ir seniai žinomos saugumo spragos išnaudojimą, apie tai privaloma pranešti. Gamintojai taip pat turi informuoti paveiktus naudotojus apie nustatytas grėsmes ir galimas apsaugos priemones. Dauguma kitų CRA reikalavimų bus taikomi nuo 2027 m. gruodžio 11 dienos.