Đạo luật CRA của EU: Đánh giá rủi ro là nền tảng cho lộ trình tuân thủ an ninh mạng

Mặc dù các phiên bản cuối cùng của tiêu chuẩn EN 62443 chưa được ban hành, các nhà sản xuất có thể sử dụng các tiêu chuẩn hiện hành để bắt đầu chuẩn bị tuân thủ chúng

CRA áp dụng cho phần cứng, phần mềm và các sản phẩm có khả năng kết nối dữ liệu với thiết bị hoặc mạng. Phạm vi này có thể bao gồm bộ điều khiển công nghiệp kết nối nền tảng đám mây để phục vụ giám sát từ xa, chẩn đoán, cập nhật phần mềm và quản lý thiết bị. Quy định cũng phân biệt sản phẩm đã được đưa ra thị trường trước ngày 11/12/2027 với sản phẩm mới kể từ thời điểm này. Dù sản phẩm hiện hữu nhìn chung không phải đáp ứng hồi tố toàn bộ yêu cầu mới, việc sửa đổi có thể làm phát sinh nghĩa vụ bổ sung.

Nhiều lựa chọn để chứng minh sự phù hợp

CRA không áp đặt một phương pháp kỹ thuật duy nhất. Doanh nghiệp có thể dựa vào các tiêu chuẩn hài hòa của châu Âu để chứng minh sản phẩm đáp ứng những yêu cầu an ninh mạng thiết yếu. Khi được hài hòa chính thức và công bố trên Công báo EU, việc áp dụng các điều khoản phù hợp của tiêu chuẩn có thể tạo cơ sở để mặc nhiên công nhận sự phù hợp với các yêu cầu CRA tương ứng.

Đối với lĩnh vực tự động hóa công nghiệp, bộ tiêu chuẩn EN 62443 đang được phát triển trên nền tảng ISA/IEC 62443 là một hướng tiếp cận đáng chú ý. Ngoài ra, doanh nghiệp có thể xem xét các tiêu chuẩn chuyên biệt theo từng dòng sản phẩm, loạt tiêu chuẩn EN 40000 hoặc chứng minh trực tiếp sự phù hợp với các yêu cầu thiết yếu của CRA theo quy trình đánh giá hiện hành.

Theo Medoff, phương án kết hợp giữa việc đánh giá các tiêu chuẩn châu Âu đang phát triển và đối chiếu trực tiếp với yêu cầu CRA sẽ giúp doanh nghiệp chủ động chuẩn bị, hạn chế nguy cơ bỏ sót nghĩa vụ pháp lý.

Ảnh minh họa

An ninh mạng phải được quản lý xuyên suốt vòng đời sản phẩm

Việc tuân thủ ISA/IEC 62443 là lợi thế đáng kể, nhưng không tự động bảo đảm sản phẩm đáp ứng CRA. Các nhà sản xuất vẫn cần chú trọng thời gian hỗ trợ bảo mật, quản lý lỗ hổng, kiểm tra an ninh định kỳ, duy trì danh mục linh kiện phần mềm (SBOM) và thiết lập cấu hình bảo mật mặc định phù hợp.

Đặc biệt, đánh giá rủi ro phải dựa trên chức năng, mục đích sử dụng, môi trường vận hành và những tình huống sử dụng có thể dự đoán hợp lý. Doanh nghiệp không thể tùy ý loại bỏ yêu cầu chỉ vì chi phí hoặc tính khả thi thương mại. Những nội dung được xác định là không áp dụng cần có căn cứ và được giải trình bằng văn bản.

Các tiêu chuẩn ISA/IEC 62443-3-2 và ISA/IEC 61511 có thể cung cấp phương pháp tham khảo hữu ích cho quá trình đánh giá. Medoff cũng lưu ý, chứng nhận ISASecure có thể tạo lợi thế ban đầu; các nhà cung cấp đã được chứng nhận theo ISA/IEC 62443 có thể đáp ứng khoảng 80-90% yêu cầu EN tương ứng, nhưng vẫn cần thẩm định bổ sung.

Khi tiêu chuẩn tiếp tục hoàn thiện và các mối đe dọa thay đổi, doanh nghiệp cần thường xuyên rà soát, cập nhật đánh giá và hồ sơ kỹ thuật. Tuân thủ CRA vì thế không phải nhiệm vụ thực hiện một lần, mà là quá trình quản trị an ninh mạng liên tục trong toàn bộ vòng đời sản phẩm.

Theo automation.com