Ak vaša spoločnosť dodáva produkty s digitálnymi prvkami — ako napríklad inteligentný termostat, softvér patriaci k stroju alebo aplikácia komunikujúca so zariadením — zákon o odolnosti voči kybernetickým hrozbám vyžaduje dossier, ktoré preukáže, ako je zabezpečená kybernetická bezpečnosť tohto produktu. V základe ide o posúdenie rizík produktu, technickú dokumentáciu o jeho fungovaní a zabezpečení, prehľad použitých softvérových komponentov, proces na riešenie zraniteľností a vyhlásenie o zhode. Presné usporiadanie a názvy sú uvedené v oficiálnom znení nariadenia; pre presnú úpravu vášho produktu si ho preštudujte alebo sa poraďte s vašou dozorovacou autoritou.
To, čo odlišuje toto dossier od napríklad dossiera bezpečnosti produktu alebo dossiera obalov, je, že nie je hotové pri odovzdaní. Dossier bezpečnosti produktu opisuje produkt tak, ako opúšťa fabriku. Dossier kybernetickej bezpečnosti musí tiež ukázať, čo sa deje po tejto dodávke: ako odsúrate zraniteľnosti, ako rýchlo vydáte aktualizáciu a ako to zaznamenáte. To je detail, ktorý je pri tejto téme najdôležitejší a kde spoločnosti zvyknuté na jednorazové dossiere najľahšie zakoľacajú.
Čo zvyčajne obsahuje dossier
V prípade väčšiny produktov s digitálnymi prvkami sa dossier kybernetickej bezpečnosti zvyčajne zúži na kombináciu nasledujúcich komponentov. Analýza rizík, ktorá popisuje, aké kybernetické riziká sa vzťahujú na produkt a ako sú riešené. Technický prehľad architektúry vrátane toho, ktorý softvér a ktoré komponenty tretích strán v ňom figurujú — často nazývaný software bill of materials, zoznam všetkých softvérových komponentov v produkte. Popis procesu, pomocou ktorého zistujete, vyhodnocujete a odstraňujete zraniteľnosti. A vyhlásenie, v ktorom uvadzáte, že produkt spĺňa platné požiadavky.
To, či váš produkt presne potrebuje tieto dokumenty a v akej forme, závisí od typu produktu a kategórie, do ktorej patrí. Ide o vecnú otázku, ktorá je mimo rozsahu reglia; na to sú text nariadenia alebo právnik tou správnou pomôckou. Prvú orientáciu o tom, aké povinnosti sa môžu vzťahovať na váš typ spoločnosti, nájdete na prehľad pripojených platforiem.
Prečo proces aktualizácie zaslúži osobitnú pozornosť
Veľa ďalších dossierov, ktoré podľa spoločnosti figurujú, sú v podstate snímky: vyplníte ich, uchováte si ich a aktualizujete ich, ak sa niečo podstatné zmení. Dossier kybernetickej bezpečnosti vyžaduje niečo iné: proces, ktorý prebiehajú a ktorý môžete preukázať. Kto hlási zraniteľnosť, v akom čase sa posúdi, a ako sa dostane aktualizácia k užívateľovi? Nie je to niečo, čo raz napíšete a potom necháte ležať — je to časť dossiera, ktorá sa spolu s ním pohybuje, pokiaľ je produkt v používaní.
V praxi to znamená, že dossier obsahuje dva druhy informácií: pevné dokumenty, ktoré sa menia, ak sa zmení sám produkt, a priebežný záznam, ktorý rastie s každou aktualizáciou alebo hlásením. Spoločnosti, ktoré toto rozlíšenie nepoznajú, riskujú, že je dossier na papieri úplný, ale v praxi neukazuje, ako bola bezpečnosť po dodávke udržiavaná. To, či a ako sa to vzťahuje na váš produkt, najlepšie posúdite spolu s právnikom alebo príslušnou autoritou.
Jedno dossier, ale nie vaša jediná povinnosť
Produkt s digitálnymi prvkami, ktorý predávate spotrebiteľom, sa v praxi často dotýka nielen Zákona o kybernetickej odolnosti. Rovnaké údaje o produkte — špecifikácie, krajina určenia, osoba zodpovedná v rámci vášho podniku — sa objavujú aj pri bezpečnosti produktov, pri obaloch a niekedy aj pri osobných údajoch. Reglia túto reguláciu sama nevypĺňa, ale zaisťuje, že si dossier o podniku a produkte vyplníte len raz a že platformy, ktoré sa tými údajmi skutočne zaoberajú, si toto dossier prečítajú namiesto toho, aby ste ho štyrikrát pretypovali. Ako to presne funguje a čo reglia s týmito údajmi robí a čo nie, nájdete na vysvetlenie o fungovaní reglia.
Ak chcete vedieť, ako sú údaje pritom chránené a kto má k nim prístup, nájdete to na stránke o bezpečnosti a súkromí. Vytvorenie účtu je bezplatné a nič vás nezaväzuje; čo potom použijete pri niektorej z platforiem, zaplatíte tam, za sadzbu, ktorú táto platforma používa.
Zvedavý, ktoré platformy sú k reglia pripojené a ktorá časť vášho podniku je dotknutá každou z nich? Pozrite si najčastejších otázok o reglia alebo si pozrite prehľad dostupných riešení.