EU thúc đẩy đánh giá rủi ro, nâng cao an ninh mạng công nghiệp

Mặc dù các phiên bản cuối cùng của tiêu chuẩn EN 62443 chưa được ban hành, các nhà sản xuất có thể sử dụng các tiêu chuẩn hiện hành để bắt đầu chuẩn bị tuân thủ chúng.

CRA áp dụng cho cả phần cứng và phần mềm có khả năng kết nối dữ liệu logic hoặc vật lý với thiết bị, mạng lưới, cũng như các giải pháp xử lý dữ liệu từ xa. Phạm vi điều chỉnh có thể bao gồm bộ điều khiển công nghiệp kết nối với nền tảng đám mây của nhà sản xuất để phục vụ giám sát, chẩn đoán, cập nhật phần mềm và quản lý từ xa.

Quy định cũng phân biệt sản phẩm đã được đưa ra thị trường trước ngày 11/12/2027 với những sản phẩm mới kể từ thời điểm này. Các sản phẩm hiện hữu nhìn chung không phải đáp ứng hồi tố toàn bộ yêu cầu dành cho sản phẩm mới, tuy nhiên, những thay đổi hoặc sửa đổi sản phẩm có thể làm phát sinh nghĩa vụ tuân thủ bổ sung.

Nhiều lộ trình đáp ứng CRA

CRA không áp đặt một phương pháp kỹ thuật duy nhất cho tất cả sản phẩm. Nhà sản xuất có thể sử dụng các tiêu chuẩn hài hòa của châu Âu để chứng minh sự phù hợp với những yêu cầu an ninh mạng thiết yếu. Khi tiêu chuẩn được hài hòa chính thức và công bố trên Công báo EU, việc tuân thủ các điều khoản liên quan có thể tạo cơ sở để mặc nhiên công nhận sản phẩm đáp ứng những yêu cầu CRA tương ứng.

Đạo luật CRA của EU, Quy định (EU) 2024/2847, yêu cầu mọi sản phẩm có yếu tố kỹ thuật số (PwDE) được bán tại EU phải đáp ứng các yêu cầu an ninh mạng bắt buộc trong suốt vòng đời sản phẩm

Đáng chú ý, bộ tiêu chuẩn EN 62443 đang được phát triển dựa trên nền tảng ISA/IEC 62443, vốn quen thuộc với nhiều doanh nghiệp tự động hóa công nghiệp. Các tổ chức đã triển khai bộ tiêu chuẩn này có thể tận dụng quy trình phát triển sản phẩm an toàn, năng lực bảo mật kỹ thuật và phương pháp đánh giá rủi ro hiện có.

Tuy nhiên, tuân thủ ISA/IEC 62443 không đồng nghĩa tự động đáp ứng CRA. Những yêu cầu bổ sung liên quan đến thời gian hỗ trợ bảo mật, quản lý lỗ hổng, kiểm tra an ninh định kỳ, danh mục linh kiện phần mềm (SBOM) và cấu hình bảo mật mặc định vẫn cần được xem xét.

Đánh giá rủi ro phải xuyên suốt vòng đời sản phẩm

Theo Medoff, doanh nghiệp không nên áp dụng một cấp độ bảo mật tối thiểu chung cho mọi sản phẩm. Thay vào đó, yêu cầu an ninh mạng cần được xác định dựa trên chức năng, mục đích sử dụng, môi trường vận hành và các rủi ro thực tế. Những yêu cầu được xác định là không áp dụng phải có cơ sở giải trình bằng văn bản.

Đánh giá rủi ro cũng không thể chỉ dựa trên tiêu chí chi phí hay tính khả thi thương mại. Nhà sản xuất cần xem xét cả mục đích sử dụng dự kiến, những tình huống sử dụng có thể dự đoán hợp lý và môi trường hoạt động của sản phẩm. Các tiêu chuẩn như ISA/IEC 62443-3-2 và ISA/IEC 61511 có thể cung cấp nền tảng phương pháp luận hữu ích cho quá trình này.

Medoff ước tính, các nhà cung cấp đã đạt chứng nhận ISA/IEC 62443 có thể đáp ứng khoảng 80–90% yêu cầu của tiêu chuẩn EN tương ứng. Dù vậy, doanh nghiệp vẫn cần tự đánh giá khoảng cách tuân thủ và cập nhật hồ sơ khi tiêu chuẩn mới được hoàn thiện.

Thông điệp quan trọng là an ninh mạng không dừng lại ở thời điểm sản phẩm xuất xưởng. Đánh giá rủi ro, quản lý lỗ hổng và cập nhật bảo mật cần được duy trì trong toàn bộ vòng đời sản phẩm, giúp doanh nghiệp chủ động chuẩn bị cho CRA trước thời hạn năm 2027.

Theo automation.com