Kodėl išmanioji durų spyna nuo šiol turės būti tokia pat saugi kaip virdulys

Kai perkame virdulį, mums net į galvą neateina klausimas, ar jis netrenks elektra. Žinome, kad yra taisyklės, kad kažkas jas tikrina ir kad ant dėžutės esantis ženkliukas ką nors reiškia.

O dabar pagalvokime apie kūdikio stebėjimo kamerą. Arba apie išmaniąją durų spyną. Arba apie tą maršrutizatorių, kuris stovi kampe ir per kurį eina visas namų internetas.

Šitie daiktai irgi gali būti nesaugūs — tik ne elektros, o kitokia prasme. Juose gali būti spraga, per kurią į jūsų namus pažiūrės svetimas žmogus. Ir iki šiol už tai beveik niekas neatsakė.

Būtent tai Europa dabar ir bando pakeisti.

Kas atsitiko rugsėjo 11-ąją

Įsigaliojo pirmoji tikra naujojo Europos Sąjungos įstatymo dalis. Įstatymas vadinasi Kibernetinio atsparumo aktas, o trumpai visi jį vadina CRA.

Visos taisyklės pradės veikti tik 2027 metų gruodį. Bet vienas dalykas galioja jau dabar.

Nuo šiol įmonė, gaminanti išmanųjį daiktą ar programą, privalo pranešti, jei sužino, kad jos gaminio spraga jau naudojama įsilaužimams. Ne teoriškai galėtų būti panaudota, o realiai naudojama.

Ir pranešti reikia greitai. Labai greitai.

Kodėl skaičiuojamos valandos, o ne dienos

Nuo tos akimirkos, kai įmonė sužino, prasideda skaičiavimas:

24 valandos — pirmas trumpas įspėjimas. Tiesiog: taip, turime problemą.

72 valandos — jau su paaiškinimu. Koks daiktas, kokia spraga, ką jau padarėme, ką turėtų daryti patys žmonės, kurie tą daiktą naudoja.

14 dienų nuo tada, kai spraga ištaisoma — galutinė ataskaita.

Kodėl tokie trumpi terminai? Todėl, kad įsilaužėliai nelaukia. Jei spraga jau naudojama, kiekviena diena, kol apie ją tylima, yra diena, per kurią nukenčia dar keli žmonės.

Yra ir antra situacija — kai įsilaužiama į pačią įmonę ir dėl to gali nukentėti jos gaminiai. Ten laikrodis toks pat: 24 ir 72 valandos, tik galutinė ataskaita teikiama per mėnesį.

Svarbiausia naujiena pirkėjui

Prie viso to yra viena pastraipa, kuri tiesiogiai liečia kiekvieną iš mūsų.

Įmonė nuo šiol privalo informuoti ne tik valdžios instituciją, bet ir pačius klientus. Papasakoti, kas nutiko, ir pasakyti, ką žmogus gali padaryti, kad apsisaugotų.

Iki šiol tokių žinučių dažniausiai tiesiog nebūdavo. Gaminys turėdavo spragą, ją kas nors išnaudodavo, o pirkėjas apie tai nesužinodavo niekada.

Kokius daiktus tai liečia

Sąrašas kasdieniškas: išmanieji telefonai, nešiojamieji kompiuteriai, išmanieji laikrodžiai, namų kameros, kūdikių stebėjimo sistemos, išmaniosios durų spynos, signalizacijos, išmanieji skaitikliai, modemai.

Ir ne tik daiktai. Taip pat atskirai parduodamos programos — apskaitos programa, operacinė sistema, mobilioji programėlė telefone.

Trumpai tariant, beveik viskas, kas jungiasi prie interneto arba parduodama kaip programa.

O jei aš pats turiu tokį verslą?

Čia yra vieta, kurią verta perskaityti atidžiai, nes daug kas nustemba.

Šiame įstatyme gamintoju laikomas ne tik tas, kas fiziškai surenka įrenginį fabrike. Gamintoju laikomas ir tas, kuris užsakė produktą sukurti ir paskui pardavinėja jį savo vardu.

Pavyzdžiui, Lietuvos įmonė sugalvojo programėlę, užsakė ją padaryti iš rangovo, uždėjo savo pavadinimą ir pardavinėja. Pati nė vienos kodo eilutės neparašė. Bet tam tikrais atvejais ji ir yra gamintojas su visomis pareigomis.

Tokių įmonių Lietuvoje daug — ir dalis jų apie tai net nesusimąsčiusi.

Kam ir kur pranešama

Gera žinia — nereikia rašyti kiekvienos šalies institucijai atskirai.

Europa sukūrė vieną bendrą platformą; ji pradėjo veikti kaip tik rugsėjo 11-ąją. Pranešate vieną kartą, o informacija nukeliauja ten, kur reikia.

Lietuvoje registruotų įmonių pranešimus tvarko Nacionalinis kibernetinio saugumo centras.

Iš anksto registruotis nebūtina — galima tai padaryti teikiant pirmą pranešimą. Bet laukti neverta. Kai turi 24 valandas, nesinori jų gaišti aiškinantis, kas įmonėje už tai atsakingas.

Senesni daiktai irgi skaičiuojami

Dažnas klausimas: o jeigu prekė sukurta prieš penkerius metus, dar visai kitais laikais?

Atsakymas — taisyklė galioja ir jai, jei ta prekė vis dar parduodama Europos Sąjungoje.

Bet yra riba. Nereikia dabar pranešinėti apie visas senas problemas, apie kurias jau seniai žinota. Pareiga atsiranda dėl to, ką sužinote po rugsėjo 11-osios.

Kas bus po dvejų metų

Tai, kas vyksta dabar, tėra pradžia. Tikrasis pokytis ateis 2027 metų gruodžio 11 dieną.

Tada saugumą reikės įdėti į patį daiktą dar prieš jį parduodant. Taisyklės skamba techniškai, bet reiškia paprastus dalykus.

Kad naujas įrenginys iš dėžės išeitų su normaliu slaptažodžiu, o ne su „admin“. Kad į jį nebūtų galima patekti be leidimo. Kad spragas būtų galima ištaisyti atnaujinimais, o tie atnaujinimai, kur tinka, įsijungtų patys.

Ir dar vienas dalykas, kurio seniai trūko: gamintojas turės pasakyti, kiek laiko tą gaminį prižiūrės. Šiandien pigi išmanioji kamera po pardavimo dažnai lieka visiškai be priežiūros — niekas jos nebeatnaujina, o spragos lieka atviros metų metus.

Ženkliukas ant dėžutės ims reikšti daugiau

Nuo 2027-ųjų prieš parduodant produktą reikės atlikti patikrinimą, parengti dokumentus ir uždėti tą patį CE ženklą, kurį matome ant elektros prietaisų.

Tik nuo šiol jis reikš ne vien tai, kad prietaisas netrenks srove, bet ir tai, kad jis atitinka kibernetinio saugumo reikalavimus.

Dalį daiktų gamintojas galės įsivertinti pats. O rimtesniems — operacinėms sistemoms, antivirusinėms programoms, maršrutizatoriams, ugniasienėms — tvarka bus griežtesnė, kai kuriems prireiks ir nepriklausomos įstaigos patikros.

Lietuva tam jau ruošiasi: Vyriausybės nutarimu Krašto apsaugos ministerijai pavesta skirti tokias vertinimo įstaigas, o Akreditacijos ir standartizacijos agentūrai — jas prižiūrėti.

Parduotuvės ir importuotojai irgi neišsisuks

Jei įrenginį pagamino Kinijos ar Amerikos bendrovė, atsakomybė nedingsta — ji tenka tam, kas tą prekę atveža į Europą.

Importuotojas turės patikrinti, ar viskas tvarkoje, ar yra dokumentai, ar uždėtas CE ženklas. Jei kyla abejonių, prekės parduoti negalės, kol jos nebus išspręstos. Panašių pareigų teks ir prekybininkams.

Praktiškai tai reiškia, kad pokyčius pajus ne tik programuotojai, bet ir elektronikos parduotuvės bei internetinės prekybos įmonės.

Dar du klausimai, kurie dažnai kyla

O kaip atvirasis kodas? Žmogus, kuris nemokamai paskelbė savo kodą internete, į šias taisykles nepatenka. Bet organizacijoms, kurios nuolat ir sistemingai palaiko komercijoje naudojamus atvirojo kodo produktus, dalis pareigų nuo 2027-ųjų galios.

O debesijos paslaugos? Įprastos interneto paslaugos į šį įstatymą paprastai nepatenka — joms taikomos kitos taisyklės. Nebent daiktas be tos interneto paslaugos apskritai neveiktų; tada ji laikoma paties daikto dalimi.

Ką iš viso to įsidėmėti

Jei tiesiog perkate daiktus — po dvejų metų ženkliukas ant dėžutės reikš daugiau nei dabar, o gamintojas turės pasakyti, kiek laiko gaminį prižiūrės. Ir jei kas nors nutiks, apie tai turėsite sužinoti.

Jei turite verslą, susijusį su technologijomis — pirmiausia atsakykite sau, ar jūs nesate gamintojas šio įstatymo prasme. Paskui nuspręskite, kas įmonėje atsakingas už pranešimą. Ir pagalvokite, ar apskritai sužinotumėte, kad jūsų produkto spraga naudojama — dauguma įmonių apie tai išgirsta iš kliento skambučio, o ne iš savo sistemų.

Įstatymas skamba sausai. Bet jo esmė paprasta: daiktai, kuriuos įsileidžiame į savo namus, turi būti prižiūrimi ir po to, kai už juos sumokame.

Vaizdo įrašas anglų kalba paaiškina, kaip veikia naujosios taisyklės.