Producent aplikacji, urządzenia IoT czy innego produktu z elementami cyfrowymi nie może już czekać tygodniami ze zgłoszeniem poważnej luki. Unijny Cyber Resilience Act uruchomił harmonogram, w którym pierwsze ostrzeżenie trzeba przekazać w ciągu 24 godzin.
Od 11 września działa europejska platforma Single Reporting Platform prowadzona przez ENISA. To przez nią producenci zgłaszają aktywnie wykorzystywane podatności i poważne incydenty bezpieczeństwa. W Polsce proces koordynuje CSIRT NASK.
24 godziny to dopiero pierwszy krok
Wczesne ostrzeżenie ma trafić do systemu w ciągu 24 godzin od uzyskania wiedzy o problemie. Na właściwe zgłoszenie producent ma 72 godziny. Jeśli chodzi o podatność, raport końcowy powinien zostać przekazany w ciągu 14 dni od udostępnienia poprawki lub środka łagodzącego. Przy poważnym incydencie termin końcowego raportu wynosi miesiąc.
Dla firm najtrudniejsza może być nie sama platforma, lecz organizacja wewnętrzna. Kto decyduje, czy luka jest już „aktywnie wykorzystywana”? Kto zbiera informacje od zespołu bezpieczeństwa, prawników i producenta komponentu? CRA wymusza, by takie procedury istniały wcześniej, a nie dopiero po pierwszym dużym incydencie. Warto obserwować kolejne komunikaty, bo dopiero praktyka pokaże, jak nowe rozwiązanie działa poza dokumentami i prezentacjami.
Źródła
Ministerstwo Cyfryzacji: https://redakcja.www.gov.pl/web/cyfryzacja/europejska-platforma-zglaszania-podatnosci-i-incydentow-w-ramach-aktu-o-cyberodpornosci
Formaty reklamowe wewnątrz artykułu
Reklamy wplecione między akapity najlepiej działają w układzie poziomym lub prostokątnym.
