การปฏิบัติตามกฎหมาย Cyber ​​Resilience Act (CRA) ของสหภาพยุโรป: คู่มือฉบับสมบูรณ์

ผลิตภัณฑ์ที่เชื่อมต่ออินเทอร์เน็ตกำลังกลายเป็นส่วนหนึ่งของผลิตภัณฑ์สำหรับผู้บริโภคและอุตสาหกรรมเกือบทุกประเภท. เครื่องใช้ไฟฟ้าอัจฉริยะ, กล้องวงจรปิด, อุปกรณ์สวมใส่, อุปกรณ์เครือข่าย, แอปพลิเคชันมือถือ, ซอฟต์แวร์ฝังตัวและผลิตภัณฑ์ที่เชื่อมต่อกับคลาวด์ ล้วนสามารถสร้างความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้ หากไม่ได้ออกแบบมาอย่างเหมาะสม, บำรุงรักษาและอัปเดตอย่างปลอดภัย.

สหภาพยุโรปได้ตอบสนองด้วย พระราชบัญญัติความยืดหยุ่นทางไซเบอร์, รู้จักกันอย่างเป็นทางการว่า ระเบียบ (EU) 2024/2847.

พระราชบัญญัติความยืดหยุ่นทางไซเบอร์ (Cyber ​​Resilience Act - CRA) กำหนดข้อบังคับด้านความปลอดภัยทางไซเบอร์สำหรับผลิตภัณฑ์ฮาร์ดแวร์และซอฟต์แวร์ที่วางจำหน่ายในตลาดสหภาพยุโรป. สิ่งนี้เปลี่ยนการรักษาความปลอดภัยทางไซเบอร์จากแนวทางปฏิบัติทางเทคนิคที่ส่วนใหญ่เป็นไปโดยสมัครใจ ไปเป็นข้อผูกพันด้านการปฏิบัติตามมาตรฐานผลิตภัณฑ์อย่างเป็นทางการ.

ผู้ผลิตต้องประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์, สร้างระบบรักษาความปลอดภัยไว้ในตัวผลิตภัณฑ์, บันทึกการปฏิบัติตามข้อกำหนดของพวกเขา, จัดการช่องโหว่, ให้การอัปเดตด้านความปลอดภัยและ, ตามความจำเป็น, รายงานช่องโหว่ที่ถูกใช้ประโยชน์อย่างแพร่หลายและเหตุการณ์ด้านความปลอดภัยร้ายแรง.

สำหรับสินค้าหลายรายการ, การปฏิบัติตามข้อกำหนดของ CRA จะกลายเป็นส่วนหนึ่งของกระบวนการขอเครื่องหมาย CE ด้วยเช่นกัน.

กฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ของสหภาพยุโรปคืออะไร?

กฎหมาย Cyber ​​Resilience Act เป็นกฎระเบียบด้านความปลอดภัยทางไซเบอร์ของผลิตภัณฑ์ในแนวนอนของสหภาพยุโรป. หลักการนี้ใช้บังคับอย่างกว้างขวางกับผลิตภัณฑ์ฮาร์ดแวร์และซอฟต์แวร์ที่มีองค์ประกอบดิจิทัล ซึ่งวางจำหน่ายในตลาดสหภาพยุโรป.

จุดประสงค์คือเพื่อให้มั่นใจว่าผลิตภัณฑ์ได้รับการพัฒนาอย่างปลอดภัยและคงความปลอดภัยตลอดระยะเวลาการใช้งานที่คาดไว้. นอกจากนี้ยังมุ่งหวังที่จะให้ข้อมูลที่ชัดเจนยิ่งขึ้นเกี่ยวกับความปลอดภัยของผลิตภัณฑ์แก่ผู้ใช้, การอัปเดตที่มีให้ใช้งานและระยะเวลาการสนับสนุนด้านความปลอดภัยทางไซเบอร์.

กฎหมาย CRA กล่าวถึงปัญหาที่เกิดขึ้นซ้ำๆ สองประการในตลาดผลิตภัณฑ์ดิจิทัล:

1. ผลิตภัณฑ์จำนวนมากถูกวางจำหน่ายในตลาดโดยมีมาตรการป้องกันความปลอดภัยทางไซเบอร์ที่ไม่เพียงพอ หรือมีช่องโหว่ที่ทราบกันดีอยู่แล้ว.
2. ผู้ผลิตอาจให้การอัปเดตด้านความปลอดภัยไม่เพียงพอ, ข้อมูลเกี่ยวกับช่องโหว่ หรือการสนับสนุนหลังการขายหลังจากที่ผลิตภัณฑ์ได้ถูกจำหน่ายไปแล้ว.

ภายใต้ CRA, ผู้ผลิตต้องคำนึงถึงความปลอดภัยทางไซเบอร์ในระหว่างการวางแผน, ออกแบบ, การพัฒนา, การผลิต, การส่งมอบและการบำรุงรักษาผลิตภัณฑ์. ดังนั้น การรักษาความปลอดภัยทางไซเบอร์จึงไม่จำกัดอยู่แค่การทดสอบการเจาะระบบขั้นสุดท้ายหรือการตรวจสอบก่อนเปิดตัวอีกต่อไป. ต้องบูรณาการเข้ากับวงจรชีวิตของผลิตภัณฑ์.

สามารถดูข้อมูลเพิ่มเติมได้ใน บทสรุปกฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ของคณะกรรมาธิการยุโรป.

กฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ (Cyber ​​Resilience Act) มีผลบังคับใช้เมื่อใด?

พระราชบัญญัติ CRA มีผลบังคับใช้เมื่อ 10 ธันวาคม 2024, แต่ข้อกำหนดเหล่านั้นมีผลบังคับใช้เป็นขั้นตอน.

• 11 มิถุนายน 2569: บทบัญญัติเกี่ยวกับการแจ้งหน่วยงานประเมินความสอดคล้องเริ่มมีผลบังคับใช้แล้ว.
• 11 กันยายน 2026: ข้อกำหนดในการรายงานช่องโหว่ที่ถูกใช้ประโยชน์อย่างแพร่หลายและเหตุการณ์ด้านความปลอดภัยร้ายแรงเริ่มมีผลบังคับใช้แล้ว.
• 11 ธันวาคม 2027: ข้อกำหนดส่วนใหญ่ที่เหลือของ CRA จะมีผลบังคับใช้อย่างเต็มรูปแบบ.

โดยทั่วไปแล้ว ผลิตภัณฑ์ที่วางจำหน่ายในตลาดสหภาพยุโรปก่อนวันที่ 11 ธันวาคม 2027 จะอยู่ภายใต้ข้อกำหนดหลักของ CRA ก็ต่อเมื่อมีการดัดแปลงแก้ไขอย่างมีนัยสำคัญหลังจากวันที่ดังกล่าวเท่านั้น. อย่างไรก็ตาม, ข้อกำหนดด้านการรายงานที่มีผลบังคับใช้ตั้งแต่วันที่ 11 กันยายน 2569 อาจส่งผลกระทบต่อผลิตภัณฑ์ที่วางจำหน่ายในตลาดสหภาพยุโรปไปแล้วด้วย.

ผู้ผลิตไม่ควรรอจนถึงเดือนธันวาคม 2027 จึงค่อยเริ่มเตรียมตัว. การสร้างกระบวนการพัฒนาที่ปลอดภัย, การจัดทำรายการส่วนประกอบซอฟต์แวร์, การดำเนินการทดสอบความปลอดภัยทางไซเบอร์และการนำขั้นตอนการรายงานช่องโหว่มาใช้ อาจใช้เวลานานพอสมควร.

ผลิตภัณฑ์ใดบ้างที่อยู่ภายใต้การคุ้มครองของ CRA?

โดยทั่วไป CRA จะใช้กับ ผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล ซึ่งวัตถุประสงค์หรือการใช้งานที่คาดการณ์ได้อย่างสมเหตุสมผลนั้นรวมถึงการเชื่อมต่อข้อมูลเชิงตรรกะหรือทางกายภาพโดยตรงหรือโดยอ้อมกับอุปกรณ์หรือเครือข่าย.

ผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลอาจรวมถึง:

• ผลิตภัณฑ์ฮาร์ดแวร์
• ผลิตภัณฑ์ซอฟต์แวร์
• ส่วนประกอบฮาร์ดแวร์หรือซอฟต์แวร์จำหน่ายแยกต่างหาก
• เฟิร์มแวร์ฝังตัว
• โซลูชันการประมวลผลข้อมูลระยะไกลที่จำเป็นสำหรับผลิตภัณฑ์ในการทำงานอย่างใดอย่างหนึ่งของผลิตภัณฑ์นั้น

การประมวลผลข้อมูลจากระยะไกลอาจรวมถึงบริการคลาวด์ที่ควบคุมโดยผู้ผลิต ซึ่งหากไม่มีบริการดังกล่าว ผลิตภัณฑ์จะไม่สามารถทำงานตามฟังก์ชันที่ตั้งใจไว้ได้.

ตัวอย่างผลิตภัณฑ์ที่อาจได้รับความคุ้มครอง

ขึ้นอยู่กับหน้าที่และวิธีการจัดหาอุปกรณ์เหล่านั้น, ผลิตภัณฑ์ที่อยู่ภายใต้การกำกับดูแลของ CRA อาจรวมถึง:

• อุปกรณ์อินเทอร์เน็ตของสิ่งต่างๆ (IoT)
• ผลิตภัณฑ์บ้านอัจฉริยะ
• เครื่องใช้ไฟฟ้าในครัวเรือนที่เชื่อมต่ออินเทอร์เน็ต
• กล้องวงจรปิดอัจฉริยะและระบบเตือนภัย
• สมาร์ทล็อค
• ของเล่นเชื่อมต่อ
• อุปกรณ์สวมใส่
• เราเตอร์, โมเด็มและสวิตช์เครือข่าย
• คอมพิวเตอร์, สมาร์ทโฟนและแท็บเล็ต
• อุปกรณ์จัดเก็บข้อมูลภายนอก
• ผลิตภัณฑ์อินเทอร์เฟซเครือข่าย
• ผลิตภัณฑ์ควบคุมอุตสาหกรรม
• เซ็นเซอร์ที่เชื่อมต่อ
• ระบบควบคุมการเข้าออก
• ระบบปฏิบัติการ
• แอปพลิเคชันบนมือถือและเดสก์ท็อป
• โปรแกรมจัดการรหัสผ่าน
• ซอฟต์แวร์เครือข่ายส่วนตัวเสมือน
• ไฟร์วอลล์
• ซอฟต์แวร์ป้องกันไวรัสและตรวจจับมัลแวร์
• ซอฟต์แวร์ฝังตัวและเฟิร์มแวร์
• ไลบรารีซอฟต์แวร์และส่วนประกอบซอฟต์แวร์เชิงพาณิชย์
• วิดีโอเกมและซอฟต์แวร์แบบสแตนด์อโลนอื่นๆ

คำจำกัดความนี้ตั้งใจให้กว้างมาก. ผลิตภัณฑ์ไม่จำเป็นต้องเชื่อมต่อกับอินเทอร์เน็ตโดยตรงเสมอไป. การเชื่อมต่อทางอ้อมกับอุปกรณ์หรือเครือข่ายอื่นอาจเพียงพอแล้ว.

ตัวอย่างเช่น, ผลิตภัณฑ์ที่เปิดใช้งานบลูทูธซึ่งเชื่อมต่อกับแอปพลิเคชันบนสมาร์ทโฟน อาจเข้าข่ายการคุ้มครองตามกฎหมายคุ้มครองผู้บริโภค (CRA) แม้ว่าตัวผลิตภัณฑ์เองจะไม่ได้เชื่อมต่อกับอินเทอร์เน็ตโดยตรงก็ตาม.

กฎหมาย CRA ใช้กับซอฟต์แวร์แบบสแตนด์อโลนหรือไม่?

ใช่. ซอฟต์แวร์แบบสแตนด์อโลนที่วางจำหน่ายในตลาดสหภาพยุโรปอาจอยู่ภายใต้ขอบเขตของ CRA ได้.

ซึ่งอาจรวมถึง:

• แอปพลิเคชันมือถือ
• แอปพลิเคชันบนเดสก์ท็อป
• ระบบปฏิบัติการ
• ซอฟต์แวร์รักษาความปลอดภัย
• ไลบรารีซอฟต์แวร์เชิงพาณิชย์
• ซอฟต์แวร์การจัดการอุปกรณ์
• เครื่องมือการจัดการเครือข่าย
• ซอฟต์แวร์ที่จำหน่ายผ่านแพลตฟอร์มดาวน์โหลด
• ซอฟต์แวร์ที่จัดจำหน่ายโดยไม่มีผลิตภัณฑ์ทางกายภาพแยกต่างหาก

ซอฟต์แวร์จะได้รับการคุ้มครองหรือไม่นั้น ขึ้นอยู่กับวิธีการจัดหาซอฟต์แวร์นั้น, ไม่ว่าจะเป็นการจัดให้มีขึ้นในฐานะส่วนหนึ่งของกิจกรรมเชิงพาณิชย์หรือไม่ และไม่ว่าจะมีข้อยกเว้นเฉพาะใด ๆ ที่ใช้บังคับหรือไม่.

ซอฟต์แวร์ที่ให้บริการแบบครบวงจรอาจต้องได้รับการประเมินอย่างละเอียดมากขึ้น. โดยทั่วไปแล้ว CRA ไม่ได้ควบคุมการให้บริการซอฟต์แวร์ทุกรูปแบบ, แต่ฟังก์ชันการประมวลผลข้อมูลจากระยะไกลซึ่งจำเป็นสำหรับผลิตภัณฑ์ที่อยู่ภายใต้การคุ้มครองในการทำงานอย่างใดอย่างหนึ่ง อาจเป็นส่วนหนึ่งของผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล.

สินค้าใดบ้างที่ไม่รวมอยู่ในเงื่อนไข?

สินค้าบางประเภทได้รับการยกเว้นหรืออยู่ภายใต้กฎหมายเฉพาะภาคส่วนของสหภาพยุโรป.

ขึ้นอยู่กับสถานการณ์, อาจมีข้อยกเว้นสำหรับผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายที่เกี่ยวข้องดังต่อไปนี้:

• อุปกรณ์ทางการแพทย์
• อุปกรณ์ทางการแพทย์สำหรับการวินิจฉัยในหลอดทดลอง
• การบินพลเรือน
• ยานยนต์
• อุปกรณ์ทางทะเลบางชนิด
• ผลิตภัณฑ์ที่พัฒนาขึ้นเพื่อวัตถุประสงค์ด้านความมั่นคงหรือการป้องกันประเทศโดยเฉพาะ
• ซอฟต์แวร์โอเพนซอร์สและฟรีบางส่วนที่จัดหาให้โดยไม่เกี่ยวข้องกับกิจกรรมเชิงพาณิชย์

การจัดการกับซอฟต์แวร์โอเพนซอร์สจำเป็นต้องใช้ความระมัดระวังเป็นพิเศษ. ซอฟต์แวร์ที่เผยแพร่นอกเหนือกิจกรรมเชิงพาณิชย์อาจถูกยกเว้น, ในขณะที่ผลิตภัณฑ์โอเพนซอร์สที่จัดจำหน่ายในเชิงพาณิชย์และผู้ดูแลซอฟต์แวร์โอเพนซอร์สบางรายอาจมีภาระผูกพันตามกฎหมาย CRA.

ผลิตภัณฑ์ไม่ควรถูกยกเว้นเพียงเพราะอยู่ภายใต้กฎหมายอื่นของสหภาพยุโรป. ผู้ผลิตต้องตรวจสอบว่ากฎหมายอื่น ๆ ครอบคลุมข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องโดยเฉพาะหรือไม่ และ CRA ให้การยกเว้นทั้งหมดหรือบางส่วนหรือไม่.

ใครคือผู้ผลิตภายใต้กฎหมาย CRA?

ผู้ผลิตคือบุคคลธรรมดาหรือนิติบุคคลที่พัฒนาผลิตภัณฑ์, ผลิตหรือมีผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลที่ออกแบบมา, พัฒนาหรือผลิต, และทำการตลาดผลิตภัณฑ์นั้นภายใต้ชื่อหรือเครื่องหมายการค้าของตนเอง.

ดังนั้น บริษัทอาจถูกพิจารณาว่าเป็นผู้ผลิตได้แม้ในกรณีต่อไปนี้:

• สินค้าจริงผลิตโดยโรงงานของบุคคลที่สาม.
• ซอฟต์แวร์นี้ได้รับการพัฒนาโดยผู้รับเหมาภายนอก.
• เฟิร์มแวร์นั้นจัดหาโดยบริษัทอื่น.
• บริษัทนำเข้าสินค้าสำเร็จรูปและจำหน่ายภายใต้แบรนด์ของตนเอง.
• งานพัฒนาซอฟต์แวร์จะถูกว่าจ้างภายนอกให้แก่วิศวกรซอฟต์แวร์หรือผู้ให้บริการด้านเทคนิค.

การว่าจ้างพัฒนาภายนอกไม่ได้หมายความว่าความรับผิดชอบทางกฎหมายของผู้ผลิตจะถูกผลักภาระไปให้ภายนอกด้วย.

บริษัทที่นำผลิตภัณฑ์ออกสู่ตลาดภายใต้ชื่อหรือเครื่องหมายการค้าของตนต้องรับประกันว่าผลิตภัณฑ์นั้นสมบูรณ์, รวมถึงซอฟต์แวร์และฮาร์ดแวร์จากผู้ผลิตรายอื่น, ตรงตามข้อกำหนดของ CRA.

ผู้ผลิตมีภาระผูกพันหลักอะไรบ้างต่อ CRA (หน่วยงานกำกับดูแลหลักทรัพย์ของแคนาดา)?

ผู้ผลิตมีหน้าที่รับผิดชอบหลักในการปฏิบัติตามกฎระเบียบ.

ก่อนที่จะนำผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลออกสู่ตลาดสหภาพยุโรป, โดยทั่วไปแล้ว ผู้ผลิตจะต้อง:

1. พิจารณาว่าผลิตภัณฑ์นั้นอยู่ในขอบเขตของ CRA หรือไม่.
2. ตรวจสอบว่าผลิตภัณฑ์นั้นเป็นสินค้าเริ่มต้นหรือไม่, ผลิตภัณฑ์ที่สำคัญหรือวิกฤต.
3. ดำเนินการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์.
4. ออกแบบ, พัฒนาและผลิตผลิตภัณฑ์ให้สอดคล้องกับข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ.
5. ควรใช้ความระมัดระวังเป็นอย่างยิ่งเมื่อทำการผสานรวมส่วนประกอบจากผู้ผลิตรายอื่น.
6. กำหนดกระบวนการจัดการช่องโหว่.
7. กำหนดและบันทึกระยะเวลาการสนับสนุนผลิตภัณฑ์.
8. จัดเตรียมเอกสารทางเทคนิคที่จำเป็น.
9. ดำเนินการประเมินความสอดคล้องที่เหมาะสม.
10. จัดเตรียมและลงนามในปฏิญญาความสอดคล้องของสหภาพยุโรป.
11. ติดเครื่องหมาย CE.
12. โปรดระบุข้อมูลผลิตภัณฑ์และคำแนะนำด้านความปลอดภัยที่จำเป็น.
13. ตรวจสอบช่องโหว่และเหตุการณ์ที่เกิดขึ้นหลังจากวางจำหน่ายผลิตภัณฑ์ในตลาดแล้ว.
14. จัดให้มีการอัปเดตด้านความปลอดภัยตลอดระยะเวลาการสนับสนุน.
15. ดำเนินการแก้ไขเมื่อผลิตภัณฑ์ไม่เป็นไปตามข้อกำหนดหรือก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์.
16. ปฏิบัติตามกำหนดเวลาการรายงานช่องโหว่และเหตุการณ์ที่เกี่ยวข้อง.

ผู้ผลิตต้องสามารถแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดผ่านทางเอกสารหลักฐาน, ขั้นตอนและหลักฐานทางเทคนิค. การกล่าวโดยทั่วไปว่าผลิตภัณฑ์นั้นปลอดภัยนั้นไม่เพียงพอ.

ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ

ภาคผนวกที่ 1 ของ CRA ประกอบด้วยข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ.

ข้อกำหนดเหล่านี้แบ่งออกเป็นสองส่วนหลัก:

• คุณสมบัติการรักษาความปลอดภัยทางไซเบอร์ของผลิตภัณฑ์
• ข้อกำหนดในการจัดการช่องโหว่

การรักษาความปลอดภัยตั้งแต่ขั้นตอนการออกแบบและการตั้งค่าเริ่มต้น

ผลิตภัณฑ์ต้องได้รับการออกแบบ, พัฒนาและผลิตขึ้นเพื่อให้มั่นใจได้ถึงระดับความปลอดภัยทางไซเบอร์ที่เหมาะสมตามความเสี่ยงต่างๆ.

ขึ้นอยู่กับผลิตภัณฑ์, ซึ่งอาจต้องใช้มาตรการต่างๆ เพื่อแก้ไขปัญหาดังต่อไปนี้:

• การตั้งค่าเริ่มต้นที่ปลอดภัย
• การตรวจสอบสิทธิ์
• การควบคุมการเข้าถึง
• การรักษาความลับ
• การเข้ารหัส
• ความถูกต้องของข้อมูล
• ความพร้อมใช้งานของบริการและระบบ
• การป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต
• การป้องกันการบิดเบือนข้อมูล
• การลดพื้นที่การโจมตี
• ข้อจำกัดของอินเทอร์เฟซที่เปิดเผย
• การสื่อสารที่ปลอดภัย
• ความสามารถในการรับมือกับการโจมตีแบบปฏิเสธการให้บริการ
• การบันทึกและตรวจสอบความปลอดภัย
• การลบข้อมูลอย่างปลอดภัย
• ลดการประมวลผลข้อมูลที่ไม่จำเป็น
• การป้องกันเทคนิคการโจมตีที่รู้จักกันดี
• กลไกการอัปเดตที่ปลอดภัย
• การฟื้นตัวจากเหตุการณ์ด้านความปลอดภัย

การควบคุมที่เหมาะสมนั้นขึ้นอยู่กับผลิตภัณฑ์, วัตถุประสงค์การใช้งาน, การใช้ในทางที่ผิดที่คาดการณ์ได้อย่างสมเหตุสมผล, สภาพแวดล้อมในการปฏิบัติงานและผลกระทบที่อาจเกิดขึ้นจากการโจมตีทางไซเบอร์ที่ประสบความสำเร็จ.

ไม่พบช่องโหว่ที่สามารถใช้ประโยชน์ได้

ผลิตภัณฑ์จะต้องไม่ถูกวางจำหน่ายในตลาดหากทราบว่ามีช่องโหว่ที่สามารถถูกโจมตีได้.

นี่ไม่ใช่แค่การทดสอบเพียงครั้งเดียวก่อนการปล่อยจรวดเท่านั้น. ผู้ผลิตจำเป็นต้องมีกระบวนการในการระบุ, การประเมิน, การจัดลำดับความสำคัญและการแก้ไขช่องโหว่ที่ส่งผลกระทบต่อ:

• ซอฟต์แวร์กรรมสิทธิ์
• เฟิร์มแวร์
• ระบบปฏิบัติการ
• ไลบรารีโอเพนซอร์ส
• ส่วนประกอบซอฟต์แวร์จากบุคคลที่สาม
• โปรโตคอลการสื่อสาร
• ส่วนประกอบฮาร์ดแวร์
• การพึ่งพาระบบคลาวด์
• แอปพลิเคชันมือถือ
• อินเทอร์เฟซการเขียนโปรแกรมแอปพลิเคชัน

การอัปเดตที่ปลอดภัย

ในกรณีที่จำเป็นต้องมีการอัปเดตด้านความปลอดภัย, ผู้ผลิตต้องจัดหาอุปกรณ์เหล่านั้นให้โดยไม่ล่าช้าและโดยทั่วไปแล้วต้องไม่คิดค่าใช้จ่ายในช่วงระยะเวลาการสนับสนุน.

สำหรับสินค้าหลายรายการ, ควรติดตั้งการอัปเดตความปลอดภัยโดยอัตโนมัติเป็นค่าเริ่มต้น หากสามารถทำได้ทางเทคนิค. โดยทั่วไป ผู้ใช้ควรจะสามารถเลื่อนหรือปิดใช้งานการติดตั้งอัตโนมัติได้ผ่านกลไกที่ชัดเจนและเข้าถึงได้ง่าย.

ควรมีการอัปเดตด้านความปลอดภัย, หากเป็นไปได้, แยกออกจากการอัปเดตฟีเจอร์. วิธีนี้ช่วยป้องกันไม่ให้ผู้ใช้ถูกบังคับให้ยอมรับการเปลี่ยนแปลงฟังก์ชันการทำงานที่ไม่เกี่ยวข้อง เพียงเพื่อจะได้รับการแก้ไขด้านความปลอดภัยที่สำคัญ.

การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์เป็นหนึ่งในเอกสารสำคัญของ CRA.

ไม่ควรเป็นเพียงรายการตรวจสอบความปลอดภัยด้านไอทีทั่วไป. ต้องเกี่ยวข้องกับผลิตภัณฑ์นั้นๆ โดยเฉพาะ, ส่วนประกอบของมัน, วัตถุประสงค์การใช้งาน, การใช้งานที่คาดการณ์ได้, ผู้ใช้, ข้อมูล, การเชื่อมต่อและสภาพแวดล้อมการทำงาน.

สิ่งที่การประเมินความเสี่ยงควรครอบคลุม

การประเมินความเสี่ยงที่เหมาะสมอาจพิจารณาถึง:

• สถาปัตยกรรมผลิตภัณฑ์
• ส่วนประกอบฮาร์ดแวร์และซอฟต์แวร์
• เทคโนโลยีการสื่อสาร
• อินเทอร์เฟซเครือข่าย
• บริการคลาวด์
• แอปพลิเคชันมือถือ
• บทบาทและสิทธิ์ของผู้ใช้
• วิธีการตรวจสอบสิทธิ์
• ข้อมูลที่ประมวลผลหรือจัดเก็บ
• การเข้ารหัสและการจัดการคีย์
• กลไกการอัปเดต
• การพึ่งพาจากภายนอก
• ผู้ก่อภัยคุกคามที่อาจเกิดขึ้น
• เวกเตอร์การโจมตี
• จุดอ่อนที่ทราบ
• การใช้ในทางที่ผิดที่คาดการณ์ได้
• ผลที่ตามมาจากการประนีประนอม
• การควบคุมความปลอดภัยที่มีอยู่
• ความเสี่ยงที่เหลืออยู่
• การทดสอบที่จำเป็น
• มาตรการรับมือกับช่องโหว่
• การติดตามตรวจสอบหลังการวางจำหน่าย

ควรปรับปรุงการประเมินความเสี่ยงเมื่อใด

การประเมินจะต้องเป็นข้อมูลประกอบการออกแบบและพัฒนาผลิตภัณฑ์. ควรมีการทบทวนอีกครั้งเมื่อมีการเปลี่ยนแปลงที่สำคัญเกิดขึ้น, เช่น:

• การอัปเดตซอฟต์แวร์ครั้งใหญ่
• ฟังก์ชันผลิตภัณฑ์ใหม่
• การเปลี่ยนแปลงโครงสร้างผลิตภัณฑ์
• การผสานรวมส่วนประกอบใหม่จากผู้ผลิตรายอื่น
• ภัยคุกคามใหม่ที่สำคัญ
• การค้นพบช่องโหว่ที่ถูกใช้ประโยชน์อย่างแพร่หลาย
• การเปลี่ยนแปลงวัตถุประสงค์การใช้งานของผลิตภัณฑ์
• การเปลี่ยนแปลงครั้งสำคัญต่อโครงสร้างพื้นฐานระบบคลาวด์หรือเครือข่าย

การประเมินความเสี่ยงเป็นส่วนหนึ่งของเอกสารทางเทคนิค และอาจถูกร้องขอโดยหน่วยงานกำกับดูแลตลาด.

รายการส่วนประกอบซอฟต์แวร์

เอ รายการส่วนประกอบซอฟต์แวร์, โดยทั่วไปเรียกว่า SBOM, คือรายการส่วนประกอบซอฟต์แวร์ที่มีโครงสร้างซึ่งบรรจุอยู่ในผลิตภัณฑ์.

ข้อมูลที่มักรวมอยู่ใน SBOM

SBOM อาจระบุถึง:

• โมดูลซอฟต์แวร์ที่เป็นกรรมสิทธิ์
• ไลบรารีโอเพนซอร์ส
• การพึ่งพาจากภายนอก
• ส่วนประกอบเฟิร์มแวร์
• ชื่อส่วนประกอบ
• เวอร์ชันของส่วนประกอบ
• ซัพพลายเออร์
• ใบอนุญาต
• ความสัมพันธ์แบบพึ่งพา
• ข้อมูลอ้างอิงช่องโหว่ที่ทราบ
• ตัวระบุแพ็กเกจ

คู่มือ SBOM ช่วยให้ผู้ผลิตสามารถระบุได้ว่าผลิตภัณฑ์ของตนได้รับผลกระทบหรือไม่ เมื่อพบช่องโหว่ในส่วนประกอบของบุคคลที่สาม.

เหตุใดจึงต้องบำรุงรักษา SBOM

ตัวอย่างเช่น, หากพบว่าไลบรารีซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายมีช่องโหว่ร้ายแรง, ผู้ผลิตควรจะสามารถระบุสิ่งต่อไปนี้ได้อย่างรวดเร็ว:

• ผลิตภัณฑ์ใดบ้างที่ใช้ไลบรารีที่ได้รับผลกระทบ
• ผลิตภัณฑ์เวอร์ชันใดบ้างที่ได้รับผลกระทบ
• ไม่ว่าฟังก์ชันที่เปราะบางนั้นจะสามารถเข้าถึงหรือถูกโจมตีได้หรือไม่
• จำเป็นต้องมีการอัปเดตแก้ไขหรือไม่
• ลูกค้าหรือหน่วยงานใดบ้างที่ต้องได้รับแจ้ง
• ไม่ว่าภาระผูกพันในการรายงานต่อ CRA จะถูกกระตุ้นหรือไม่

SBOM จะไม่มีประโยชน์หากสร้างขึ้นเพียงครั้งเดียวและไม่เคยได้รับการอัปเดต. ผู้ผลิตจำเป็นต้องมีระบบควบคุมเวอร์ชันและกระบวนการในการบำรุงรักษาเมื่อซอฟต์แวร์มีการเปลี่ยนแปลง.

ข้อกำหนดในการจัดการช่องโหว่

การปฏิบัติตามกฎระเบียบของ CRA ยังคงดำเนินต่อไปแม้หลังจากที่ผลิตภัณฑ์ได้วางจำหน่ายในตลาดแล้ว.

ผู้ผลิตต้องกำหนดกระบวนการดังต่อไปนี้:

• ระบุจุดอ่อน
• รับรายงานช่องโหว่
• ช่องโหว่ของเอกสาร
• ประเมินความรุนแรงและโอกาสในการใช้ประโยชน์
• ตรวจสอบช่องโหว่ที่ส่งผลกระทบต่อส่วนประกอบของบุคคลที่สาม
• ทดสอบและตรวจสอบความปลอดภัยของผลิตภัณฑ์
• แก้ไขช่องโหว่โดยไม่ล่าช้า
• เผยแพร่การอัปเดตความปลอดภัยอย่างปลอดภัย
• แจ้งให้ผู้ใช้ทราบเกี่ยวกับการแก้ไขที่มีอยู่
• เปิดเผยข้อมูลเกี่ยวกับช่องโหว่ที่ได้รับการแก้ไขแล้วต่อสาธารณะเมื่อจำเป็น
• รักษาข้อมูลช่องโหว่ไว้เป็นความลับจนกว่าจะมีวิธีแก้ไขออกมา
• รักษาแนวนโยบายการเปิดเผยช่องโหว่ที่สอดคล้องกัน

การเปิดเผยช่องโหว่ที่ประสานงานกัน

ผู้ผลิตควรเผยแพร่วิธีการที่ชัดเจนและมีการตรวจสอบอย่างสม่ำเสมอ เพื่อให้นักวิจัยด้านความปลอดภัยสามารถเข้าถึงข้อมูลได้, ลูกค้าและบุคคลอื่น ๆ สามารถรายงานช่องโหว่ได้.

กระบวนการนี้ควรระบุสิ่งต่อไปนี้:

• ผู้ติดต่อรายงาน
• ข้อมูลที่นักข่าวควรให้
• กระบวนการรับทราบของผู้ผลิต
• เวลาตอบสนองที่คาดหวัง
• ความคาดหวังเรื่องการรักษาความลับ
• ผู้ผลิตประสานงานการเปิดเผยข้อมูลอย่างไร
• นักวิจัยด้านความปลอดภัยจะได้รับการปฏิบัติอย่างไร
• วิธีการเผยแพร่คำแก้ไขและคำแนะนำต่างๆ

ภาระผูกพันในการรายงานต่อ CRA ตั้งแต่เดือนกันยายน 2026

ภาระผูกพันในการรายงานตามมาตรา 14 มีผลบังคับใช้ตั้งแต่วันที่... 11 กันยายน 2026.

ผู้ผลิตต้องรายงานช่องโหว่ที่ถูกโจมตีอย่างแพร่หลายและเหตุการณ์ร้ายแรงบางอย่างผ่านแพลตฟอร์มการรายงานเดียวของ CRA ซึ่งดูแลโดยสำนักงานความปลอดภัยทางไซเบอร์แห่งสหภาพยุโรป (ENISA).

กำหนดเวลาการรายงาน

โดยทั่วไป กระบวนการรายงานประกอบด้วย:

• ระบบแจ้งเตือนล่วงหน้าภายใน 24 ชั่วโมง
• จะมีการแจ้งรายละเอียดเพิ่มเติมภายใน 72 ชั่วโมง
• รายงานฉบับสุดท้ายภายในระยะเวลาที่กฎหมายกำหนด

ช่องโหว่ที่ถูกใช้ประโยชน์อย่างแข็งขัน

สำหรับช่องโหว่ที่ถูกใช้ประโยชน์อย่างแข็งขัน, โดยทั่วไปแล้ว รายงานฉบับสุดท้ายจะต้องส่งภายใน 14 วันหลังจากมาตรการแก้ไขหรือบรรเทาผลกระทบมีผลบังคับใช้.

เหตุการณ์ด้านความปลอดภัยร้ายแรง

สำหรับเหตุการณ์ด้านความปลอดภัยที่ร้ายแรง, โดยทั่วไปแล้ว รายงานฉบับสุดท้ายจะต้องส่งภายในหนึ่งเดือนนับจากวันที่ได้รับแจ้งล่วงหน้า 72 ชั่วโมง.

กำหนดเวลาในการรายงานเริ่มต้นเมื่อผู้ผลิตรับทราบถึงช่องโหว่หรือเหตุการณ์ที่เกี่ยวข้อง. ดังนั้น ผู้ผลิตจึงจำเป็นต้องมีขั้นตอนการแจ้งปัญหาภายในองค์กรที่ช่วยให้ข้อมูลไปถึงเจ้าหน้าที่ฝ่ายปฏิบัติตามกฎระเบียบและฝ่ายรักษาความปลอดภัยที่รับผิดชอบได้อย่างรวดเร็ว.

ช่องโหว่ที่ทีมสนับสนุนลูกค้าค้นพบ, นักวิจัยภายนอก, ผู้จัดจำหน่าย, ผู้จำหน่ายซอฟต์แวร์หรือสำนักงานพัฒนาในต่างประเทศอาจทำให้เกิดกระบวนการรายงานทางกฎหมายเช่นเดียวกับช่องโหว่ที่ค้นพบโดยทีมรักษาความปลอดภัยทางไซเบอร์ส่วนกลางของผู้ผลิต.

ช่องโหว่ที่ถูกโจมตีอย่างจริงจังคืออะไร?

ช่องโหว่ที่ถูกใช้ประโยชน์อย่างจริงจังไม่ได้เป็นเพียงจุดอ่อนทางทฤษฎีหรือข้อมูลที่อยู่ในฐานข้อมูลช่องโหว่เท่านั้น.

ในทางปฏิบัติ, ผู้ผลิตต้องประเมินว่ามีหลักฐานที่น่าเชื่อถือหรือไม่ว่าผู้ไม่ประสงค์ดีได้ใช้ช่องโหว่ในระบบโดยไม่ได้รับอนุญาตจากเจ้าของระบบ.

ความแตกต่างนี้มีความสำคัญ เนื่องจากภาระผูกพันในการรายงานของ CRA นั้นเชื่อมโยงกับการแสวงหาประโยชน์อย่างเป็นรูปธรรม, ไม่ใช่แค่การมีอยู่ของช่องโหว่ที่อาจเกิดขึ้นทุกจุดเท่านั้น.

อย่างไรก็ตาม, ผู้ผลิตยังคงต้องระบุ, ประเมินและแก้ไขช่องโหว่ที่ไม่ได้ถูกนำไปใช้ประโยชน์โดยตรง ซึ่งเป็นส่วนหนึ่งของภาระหน้าที่ทั่วไปในการจัดการช่องโหว่.

ระยะเวลาการสนับสนุนและการอัปเดตความปลอดภัย

ผู้ผลิตต้องกำหนดระยะเวลาการสนับสนุนซึ่งจะมีการจัดการช่องโหว่และจัดหาการอัปเดตด้านความปลอดภัย.

ปัจจัยที่มีผลต่อระยะเวลาการสนับสนุน

ระยะเวลาการให้การสนับสนุนต้องคำนึงถึงปัจจัยต่างๆ เช่น:

• ระยะเวลาการใช้งานที่คาดไว้
• ลักษณะและวัตถุประสงค์ของผลิตภัณฑ์
• ความคาดหวังของผู้ใช้ที่สมเหตุสมผล
• สภาพแวดล้อมการทำงาน
• ระยะเวลาที่ผลิตภัณฑ์ประเภทเดียวกันนี้ได้รับการสนับสนุนตามปกติ
• ความพร้อมของอะไหล่หรือบริการที่เกี่ยวข้อง
• ความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับการยุติการสนับสนุน

วันสิ้นสุดของระยะเวลาการสนับสนุน, รวมถึงเดือนและปี, ต้องแจ้งให้ผู้ใช้ทราบอย่างชัดเจนในขณะซื้อ.

ผู้ผลิตควรหลีกเลี่ยงการใช้ระยะเวลารับประกันเป็นเพียงคำกล่าวอ้างทางการตลาดที่ไม่มีพื้นฐานในการปฏิบัติงาน. พวกเขาต้องมีความสามารถทางด้านเทคนิคและการจัดการเพื่อตรวจสอบช่องโหว่ต่างๆ, พัฒนาข้อมูลอัปเดตและเผยแพร่ข้อมูลอัปเดตเหล่านั้นตลอดช่วงเวลาที่กำหนด.

ข้อตกลงระยะยาวกับซัพพลายเออร์

อาจต้องมีการจัดการระยะยาวกับ:

• นักพัฒนาซอฟต์แวร์
• ซัพพลายเออร์เฟิร์มแวร์
• ผู้ให้บริการคลาวด์
• ผู้ผลิตชิ้นส่วน
• นักพัฒนาแอปพลิเคชันมือถือ
• บริการตรวจสอบความปลอดภัยทางไซเบอร์
• ห้องปฏิบัติการทดสอบ
• ผู้ให้บริการโฮสติ้งและโครงสร้างพื้นฐาน

ข้อมูลผลิตภัณฑ์และคำแนะนำการใช้งาน

ผลิตภัณฑ์ที่อยู่ภายใต้การกำกับดูแลของ CRA ต้องมีข้อมูลและคำแนะนำที่ชัดเจนแนบมาด้วย.

ขึ้นอยู่กับผลิตภัณฑ์, ข้อมูลที่อาจจำเป็นต้องระบุ ได้แก่:

• ชื่อตามกฎหมายของผู้ผลิต
• ชื่อทางการค้าหรือเครื่องหมายการค้าจดทะเบียน
• ที่อยู่ไปรษณีย์
• ที่อยู่อีเมลหรือช่องทางการติดต่อดิจิทัลอื่นๆ
• ประเภทผลิตภัณฑ์, ชุด, หมายเลขประจำเครื่องหรือตัวระบุอื่นๆ
• วัตถุประสงค์ที่ตั้งไว้
• ฟังก์ชันผลิตภัณฑ์ที่จำเป็น
• คุณสมบัติด้านความปลอดภัยทางไซเบอร์
• คำแนะนำการติดตั้งที่ปลอดภัย
• คำแนะนำในการกำหนดค่าที่ปลอดภัย
• คำแนะนำสำหรับการใช้งานอย่างปลอดภัย
• ข้อมูลเกี่ยวกับการอัปเดตความปลอดภัยที่เกี่ยวข้อง
• คำแนะนำสำหรับการติดตั้งการอัปเดต
• ข้อมูลเกี่ยวกับการอัปเดตอัตโนมัติ
• คำแนะนำสำหรับการปิดใช้งานการอัปเดตอัตโนมัติ, ในกรณีที่เกี่ยวข้อง
• วันที่สิ้นสุดระยะเวลาการสนับสนุน
• ช่องทางการติดต่อเพื่อรายงานช่องโหว่
• ข้อมูลการเปิดเผยช่องโหว่ที่ประสานงานกัน
• คำแนะนำสำหรับการลบข้อมูลผู้ใช้อย่างปลอดภัย
• คำเตือนหรือข้อจำกัดด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้อง

คำแนะนำต้องชัดเจน, เข้าใจได้, เข้าใจได้และอ่านง่าย. เอกสารเหล่านั้นต้องจัดทำเป็นภาษาที่ผู้ใช้และหน่วยงานที่เกี่ยวข้องสามารถเข้าใจได้ง่ายในประเทศสมาชิกที่จำหน่ายผลิตภัณฑ์นั้น.

เอกสารทางเทคนิค

ผู้ผลิตต้องจัดเตรียมเอกสารทางเทคนิคก่อนนำผลิตภัณฑ์ที่อยู่ภายใต้ข้อกำหนดนี้ออกสู่ตลาด.

เอกสารทางเทคนิคควรแสดงให้เห็นว่าผลิตภัณฑ์เป็นไปตามข้อกำหนดของ CRA อย่างไร และโดยปกติควรประกอบด้วย:

• คำอธิบายผลิตภัณฑ์โดยทั่วไป
• การระบุผลิตภัณฑ์
• วัตถุประสงค์ที่ตั้งไว้
• กลุ่มเป้าหมาย
• เวอร์ชันผลิตภัณฑ์
• สถาปัตยกรรมฮาร์ดแวร์
• สถาปัตยกรรมซอฟต์แวร์
• เวอร์ชันเฟิร์มแวร์และซอฟต์แวร์
• อินเทอร์เฟซการสื่อสาร
• สถาปัตยกรรมเครือข่าย
• การพึ่งพาการประมวลผลข้อมูลระยะไกล
• ข้อมูลเกี่ยวกับการออกแบบและการพัฒนา
• การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์
• การประเมินความต้องการที่จำเป็น
• มาตรฐานที่ใช้หรือข้อกำหนดทางเทคนิค
• คำอธิบายการควบคุมความปลอดภัย
• แผนการทดสอบและรายงานการทดสอบ
• การประเมินความเปราะบาง
• รายงานการทดสอบการเจาะระบบ, ในกรณีที่เกี่ยวข้อง
• รายการส่วนประกอบซอฟต์แวร์
• บันทึกการพัฒนาที่ปลอดภัย
• ขั้นตอนการอัปเดตและการจัดการแพทช์
• ขั้นตอนการจัดการช่องโหว่
• นโยบายการเปิดเผยช่องโหว่ที่ประสานงานกัน
• เหตุผลสนับสนุนระยะเวลาการให้การสนับสนุน
• ฉลากผลิตภัณฑ์
• คำแนะนำสำหรับผู้ใช้
• บันทึกการประเมินความสอดคล้อง
• การประกาศความสอดคล้องของสหภาพยุโรป
• รายละเอียดของหน่วยงานที่ได้รับแจ้ง, ในกรณีที่เกี่ยวข้อง

เอกสารต้องมีความเฉพาะเจาะจงเพียงพอที่จะช่วยให้หน่วยงานที่เกี่ยวข้องสามารถประเมินความสอดคล้องของผลิตภัณฑ์ได้.

ชุดใบรับรองที่ไม่มีความเชื่อมโยงกับผลิตภัณฑ์อย่างชัดเจน, โดยทั่วไปแล้ว ความเสี่ยงและข้อกำหนดของ CRA จะไม่ถือเป็นเอกสารทางเทคนิคที่เพียงพอ.

การจำแนกประเภทผลิตภัณฑ์ภายใต้ CRA

หน่วยงาน CRA ใช้กระบวนการประเมินความสอดคล้องที่แตกต่างกันไป ขึ้นอยู่กับประเภทและลักษณะความเสี่ยงของผลิตภัณฑ์.

โดยทั่วไป ผลิตภัณฑ์จะแบ่งออกเป็นกลุ่มใดกลุ่มหนึ่งดังต่อไปนี้:

• ผลิตภัณฑ์เริ่มต้น
• ผลิตภัณฑ์สำคัญ, คลาส I
• ผลิตภัณฑ์สำคัญ, ชั้นเรียนที่ 2
• ผลิตภัณฑ์ที่สำคัญ

การจัดประเภทขึ้นอยู่กับว่าผลิตภัณฑ์นั้นมีฟังก์ชันหลักตรงกับหมวดหมู่ที่ระบุไว้ในภาคผนวก III หรือภาคผนวก IV หรือไม่.

ผลิตภัณฑ์เริ่มต้น

โดยทั่วไปแล้ว สินค้าที่ไม่ได้รับการจัดประเภทว่ามีความสำคัญหรือวิกฤตจะถูกดำเนินการตามขั้นตอนมาตรฐาน.

โดยปกติแล้ว ผู้ผลิตผลิตภัณฑ์เหล่านี้สามารถใช้การควบคุมภายในได้, หรือเรียกอีกอย่างว่า โมดูล A, เพื่อประเมินความสอดคล้อง.

นี่ไม่ได้หมายความว่าไม่จำเป็นต้องมีการประเมินหรือการทดสอบใดๆ. ผู้ผลิตยังคงต้อง:

• ดำเนินการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์ให้เสร็จสมบูรณ์
• ปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญ
• จัดทำเอกสารทางเทคนิค
• จัดหาหลักฐานทางเทคนิคที่เหมาะสม
• ดำเนินการทดสอบตามที่กำหนด
• กำหนดขั้นตอนการจัดการช่องโหว่
• จัดทำเอกสารประกาศความสอดคล้องของสหภาพยุโรป
• ติดเครื่องหมาย CE

การประเมินตนเองหมายความว่าผู้ผลิตรับผิดชอบในการประเมินความสอดคล้อง. สิ่งนี้ไม่ได้ยกเลิกข้อผูกพันทางเทคนิคพื้นฐาน.

ผลิตภัณฑ์สำคัญ, คลาส I

กลุ่มที่ 1 ได้แก่ ผลิตภัณฑ์ที่ระบุไว้ซึ่งมีฟังก์ชันด้านความปลอดภัยทางไซเบอร์ที่สำคัญ หรือหากถูกโจมตีอาจก่อให้เกิดความเสี่ยงด้านความปลอดภัยในวงกว้าง.

ขึ้นอยู่กับฟังก์ชันการทำงานหลักของพวกมัน, ตัวอย่างอาจรวมถึงสิ่งต่อไปนี้:

• ระบบจัดการข้อมูลประจำตัว
• ผลิตภัณฑ์การจัดการสิทธิ์การเข้าถึงระดับสูง
• เบราว์เซอร์
• โปรแกรมจัดการรหัสผ่าน
• ผลิตภัณฑ์ป้องกันไวรัส
• ผลิตภัณฑ์เครือข่ายส่วนตัวเสมือน
• ระบบจัดการเครือข่าย
• ระบบสารสนเทศและการจัดการเหตุการณ์ด้านความปลอดภัย
• ตัวจัดการบูต
• ผลิตภัณฑ์โครงสร้างพื้นฐานกุญแจสาธารณะ
• ระบบปฏิบัติการ
• เราเตอร์, โมเด็มและสวิตช์
• ผลิตภัณฑ์สมาร์ทโฮมที่มีฟังก์ชันรักษาความปลอดภัย
• ไมโครโปรเซสเซอร์และไมโครคอนโทรลเลอร์ที่มีฟังก์ชันการทำงานที่เกี่ยวข้องกับความปลอดภัย

สำหรับผลิตภัณฑ์ประเภทที่ 1, การควบคุมภายในอาจยังคงเป็นไปได้เมื่อผู้ผลิตปฏิบัติตามมาตรฐานที่สอดคล้องกันอย่างครบถ้วน, ข้อกำหนดทั่วไปหรือโครงการรับรองความปลอดภัยทางไซเบอร์ของยุโรปที่เกี่ยวข้อง.

ในกรณีที่เส้นทางเหล่านั้นไม่พร้อมใช้งานหรือไม่ได้ถูกนำไปใช้อย่างเต็มที่, อาจจำเป็นต้องมีการประเมินความสอดคล้องโดยบุคคลที่สามผ่านหน่วยงานที่ได้รับแจ้ง.

ผลิตภัณฑ์สำคัญ, ชั้นเรียนที่ 2

ประเภทที่ 2 ครอบคลุมผลิตภัณฑ์สำคัญที่มีความเสี่ยงสูง.

ขึ้นอยู่กับฟังก์ชันการทำงานหลักของพวกมัน, ตัวอย่างอาจรวมถึงสิ่งต่อไปนี้:

• ไฮเปอร์ไวเซอร์
• ระบบรันไทม์คอนเทนเนอร์
• ไฟร์วอลล์
• ระบบตรวจจับการบุกรุก
• ระบบป้องกันการบุกรุก
• ไมโครโปรเซสเซอร์ที่ป้องกันการดัดแปลง
• ไมโครคอนโทรลเลอร์ที่ป้องกันการดัดแปลงแก้ไข

โดยทั่วไป ผลิตภัณฑ์ประเภทที่ 2 จำเป็นต้องได้รับการประเมินความสอดคล้องจากหน่วยงานภายนอกผ่านหน่วยงานที่ได้รับแจ้ง หรือโครงการรับรองความปลอดภัยทางไซเบอร์ของยุโรปที่เกี่ยวข้อง.

ผลิตภัณฑ์ที่สำคัญ

ผลิตภัณฑ์ที่สำคัญจะถูกระบุไว้แยกต่างหากในภาคผนวกที่ 4 และอยู่ภายใต้ข้อกำหนดการประเมินความสอดคล้องที่เข้มงวดที่สุด.

ผู้ผลิตไม่ควรจำแนกประเภทผลิตภัณฑ์โดยพิจารณาจากชื่อทางการค้าเพียงอย่างเดียว. การจำแนกประเภทขึ้นอยู่กับฟังก์ชันหลักของผลิตภัณฑ์และคำอธิบายทางเทคนิคที่ใช้ภายใต้ CRA.

การประเมินความสอดคล้อง

ก่อนที่จะนำผลิตภัณฑ์ออกสู่ตลาด, ผู้ผลิตต้องดำเนินการตามขั้นตอนการประเมินความสอดคล้องที่เหมาะสมให้เสร็จสมบูรณ์.

ขึ้นอยู่กับการจำแนกประเภท, ตัวเลือกที่เหมาะสมอาจรวมถึง:

• การควบคุมภายใน
• การตรวจสอบตามมาตรฐาน EU ตามด้วยการตรวจสอบความสอดคล้องกับประเภท
• การรับประกันคุณภาพอย่างเต็มรูปแบบ
• การประเมินโดยหน่วยงานภายนอกที่ได้รับอนุญาต
• โครงการรับรองความปลอดภัยทางไซเบอร์ของยุโรปที่เกี่ยวข้อง

ความพร้อมใช้งานของการประเมินตนเองขึ้นอยู่กับประเภทของผลิตภัณฑ์และ, สำหรับผลิตภัณฑ์ประเภทที่ 1 บางรายการ, ได้มีการนำมาตรฐานที่สอดคล้องกันหรือแนวทางการปฏิบัติตามข้อกำหนดที่เป็นที่ยอมรับอื่นๆ มาใช้โดยครบถ้วนหรือไม่.

ผู้ผลิตควรพิจารณากำหนดเส้นทางการประเมินความสอดคล้องตั้งแต่เนิ่นๆ. การค้นพบว่าจำเป็นต้องมีการตรวจสอบจากหน่วยงานตรวจสอบอิสระในช่วงท้ายของการพัฒนาผลิตภัณฑ์ อาจทำให้การเข้าสู่ตลาดล่าช้าออกไป.

มาตรฐานที่สอดคล้องกัน

คาดว่ามาตรฐานยุโรปที่สอดคล้องกันจะมีบทบาทสำคัญในการปฏิบัติตามกฎระเบียบ CRA.

เมื่อมีการอ้างอิงมาตรฐานที่สอดคล้องกันที่เกี่ยวข้องในวารสารทางการของสหภาพยุโรปและนำไปใช้อย่างถูกต้อง, อาจเป็นการสันนิษฐานว่าสอดคล้องกับข้อกำหนดทางกฎหมายที่เกี่ยวข้อง.

จนกว่าจะมีมาตรฐานที่เหมาะสม, ผู้ผลิตยังคงต้องแสดงให้เห็นถึงการปฏิบัติตามข้อกำหนดผ่านวิธีการทางเทคนิคและหลักฐานที่เหมาะสม.

มาตรฐานและกรอบงานด้านความปลอดภัยทางไซเบอร์ที่มีอยู่แล้วอาจช่วยสนับสนุนการเตรียมการได้, ขึ้นอยู่กับผลิตภัณฑ์. อย่างไรก็ตาม, การใช้มาตรฐานที่เป็นที่ยอมรับไม่ได้หมายความว่าจะพิสูจน์ได้โดยอัตโนมัติว่าได้ปฏิบัติตามข้อผูกพันของ CRA ทุกประการ เว้นแต่ว่ามาตรฐานนั้นจะมีสถานะทางกฎหมายที่จำเป็นและครอบคลุมข้อกำหนดที่เกี่ยวข้อง.

การจัดทำเอกสารเกี่ยวกับการใช้มาตรฐาน

ผู้ผลิตควรจัดทำเอกสารดังต่อไปนี้:

• ใช้มาตรฐานหรือข้อกำหนดใด
• มีการนำเวอร์ชันใดมาใช้
• ข้อกำหนดของ CRA ใดบ้างที่ครอบคลุม
• ไม่ว่าจะนำไปใช้ทั้งหมดหรือบางส่วนก็ตาม
• ได้มีการดำเนินการแก้ไขข้อกำหนดใด ๆ ที่ยังไม่ได้รับการเปิดเผยอย่างไรบ้าง
• มีการทดสอบหรือประเมินผลอะไรบ้าง

การประกาศความสอดคล้องของสหภาพยุโรป

เมื่อแสดงให้เห็นถึงการปฏิบัติตามกฎระเบียบแล้ว, ผู้ผลิตต้องจัดทำและลงนามในปฏิญญาความสอดคล้องของสหภาพยุโรป.

คำประกาศนี้ยืนยันว่าผู้ผลิตรับผิดชอบต่อการปฏิบัติตามข้อกำหนดของสหภาพยุโรปที่เกี่ยวข้องของผลิตภัณฑ์.

ควรมีข้อมูลที่จำเป็นตามภาคผนวก V รวมอยู่ด้วย, เช่น:

• ชื่อผลิตภัณฑ์และรหัสผลิตภัณฑ์
• ชื่อและที่อยู่ของผู้ผลิต
• คำแถลงความรับผิดชอบ
• วัตถุประสงค์ของการประกาศ
• กฎหมายสหภาพยุโรปที่เกี่ยวข้อง
• มาตรฐานหรือข้อกำหนดที่สอดคล้องกันที่เกี่ยวข้อง
• ข้อมูลหน่วยงานที่ได้รับแจ้ง, ในกรณีที่เกี่ยวข้อง
• ข้อมูลการปฏิบัติตามข้อกำหนดเพิ่มเติม
• สถานที่และวันที่ออกเอกสาร
• ชื่อ, ตำแหน่งและลายเซ็นของผู้มีอำนาจ

ในกรณีที่กฎหมายของสหภาพยุโรปหลายฉบับมีผลบังคับใช้กับผลิตภัณฑ์เดียวกัน, โดยปกติแล้ว ผู้ผลิตสามารถจัดทำเอกสารประกาศความสอดคล้องของสหภาพยุโรปฉบับเดียว ซึ่งครอบคลุมกฎหมายที่เกี่ยวข้องทั้งหมดได้.

ตัวอย่างเช่น, อุปกรณ์ไร้สายที่เชื่อมต่ออยู่อาจอยู่ภายใต้ข้อกำหนดเกี่ยวกับอุปกรณ์วิทยุด้วยเช่นกัน, คำสั่ง RoHS, ข้อกำหนดด้านความเข้ากันได้ทางแม่เหล็กไฟฟ้าและกฎหมายเฉพาะผลิตภัณฑ์อื่นๆ.

ภาระผูกพันของผู้นำเข้า

ผู้นำเข้าจากสหภาพยุโรปที่นำผลิตภัณฑ์จากผู้ผลิตนอกสหภาพยุโรปเข้ามาจำหน่ายในตลาดสหภาพยุโรป ต้องตรวจสอบว่าผู้ผลิตได้ปฏิบัติตามข้อกำหนด CRA ที่เกี่ยวข้องแล้ว.

รวมถึงเรื่องอื่นๆ ด้วย, ผู้นำเข้าต้องตรวจสอบสิ่งต่อไปนี้:

• การประเมินความสอดคล้องที่เหมาะสมได้ดำเนินการเสร็จสิ้นแล้ว
• เอกสารทางเทคนิคได้รับการจัดเตรียมแล้ว
• เอกสารประกาศความสอดคล้องของสหภาพยุโรปมีให้ดาวน์โหลดแล้ว
• ผลิตภัณฑ์นี้มีเครื่องหมาย CE
• มีการระบุข้อมูลผลิตภัณฑ์
• มีการให้ข้อมูลผู้ผลิต
• คู่มือการใช้งานที่จำเป็นจะแนบมากับผลิตภัณฑ์
• ระบุระยะเวลาการสนับสนุน
• มีกระบวนการจัดการช่องโหว่ที่เหมาะสมอยู่แล้ว

หากผู้นำเข้าเชื่อว่าผลิตภัณฑ์นั้นไม่เป็นไปตามข้อกำหนดหรือก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์อย่างร้ายแรง, บริษัทต้องไม่นำผลิตภัณฑ์ออกสู่ตลาดจนกว่าปัญหาจะได้รับการแก้ไข.

ผู้นำเข้าต้องให้ความร่วมมือกับหน่วยงานที่เกี่ยวข้อง และอาจมีภาระผูกพันเมื่อทราบถึงช่องโหว่ที่ส่งผลกระทบต่อผลิตภัณฑ์.

ข้อผูกพันของผู้จัดจำหน่าย

ผู้จัดจำหน่ายต้องดำเนินการด้วยความระมัดระวังอย่างยิ่งเมื่อนำผลิตภัณฑ์ออกสู่ตลาดสหภาพยุโรป.

พวกเขาต้องตรวจสอบองค์ประกอบการปฏิบัติตามกฎระเบียบอย่างเป็นทางการที่เกี่ยวข้อง, รวมทั้ง:

• การระบุผลิตภัณฑ์
• รายละเอียดผู้ผลิตและผู้นำเข้า
• ข้อมูลผู้ใช้ที่จำเป็น
• คำแนะนำด้านความปลอดภัย
• ข้อมูลระยะเวลาการสนับสนุน

ผู้จัดจำหน่ายต้องไม่ส่งมอบผลิตภัณฑ์ต่อไปหากตนมีเหตุผลเชื่อได้ว่าผลิตภัณฑ์นั้นไม่เป็นไปตามข้อกำหนด. นอกจากนี้ อาจจำเป็นต้องแจ้งให้ผู้ผลิตหรือผู้นำเข้าทราบ และให้ความร่วมมือกับหน่วยงานกำกับดูแลตลาด.

ผู้แทนที่ได้รับอนุญาตจากสหภาพยุโรป

ผู้ผลิตที่ตั้งอยู่นอกสหภาพยุโรปอาจแต่งตั้ง... ผู้แทนที่ได้รับอนุญาตจากสหภาพยุโรป ผ่านทางหนังสือมอบอำนาจ.

ผู้แทนที่ได้รับอนุญาตอาจดำเนินการตามภารกิจด้านกฎระเบียบที่กำหนดไว้ในนามของผู้ผลิต, เช่น:

• เก็บรักษาเอกสารประกาศความสอดคล้องของสหภาพยุโรปไว้ให้พร้อมใช้งาน
• จัดเตรียมเอกสารทางเทคนิคให้พร้อมใช้งานสำหรับหน่วยงานราชการ
• การตอบสนองต่อคำขอที่มีเหตุผลจากหน่วยงานที่เกี่ยวข้อง
• การให้ข้อมูลเกี่ยวกับการปฏิบัติตามกฎระเบียบ
• ให้ความร่วมมือกับหน่วยงานกำกับดูแลตลาด
• สนับสนุนการตรวจสอบย้อนกลับและการสื่อสารด้านกฎระเบียบ
• แจ้งให้ผู้ผลิตทราบเกี่ยวกับการสอบถามจากหน่วยงานที่เกี่ยวข้อง

อย่างไรก็ตาม, การแต่งตั้งตัวแทนที่ได้รับอนุญาตไม่ได้หมายความว่าผู้ผลิตจะโอนความรับผิดชอบหลักต่อผลิตภัณฑ์นั้นไป.

ความรับผิดชอบที่ยังคงอยู่กับผู้ผลิต

ผู้ผลิตยังคงรับผิดชอบต่อ:

• การออกแบบและพัฒนาผลิตภัณฑ์ที่ปลอดภัย
• การประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์
• การปฏิบัติตามข้อกำหนดที่สำคัญ
• เอกสารทางเทคนิค
• การประเมินความสอดคล้อง
• การจัดการช่องโหว่
• การอัปเดตความปลอดภัย
• การรายงานเหตุการณ์
• การดำเนินการแก้ไข
• การปฏิบัติตามข้อกำหนดของผลิตภัณฑ์อย่างต่อเนื่อง

การแก้ไขที่สำคัญ

บุคคลที่ทำการแก้ไขเปลี่ยนแปลงผลิตภัณฑ์อย่างมีนัยสำคัญ แล้วนำผลิตภัณฑ์นั้นออกสู่ตลาด อาจต้องรับผิดชอบในฐานะผู้ผลิต.

การแก้ไขเปลี่ยนแปลงอาจถือว่ามีนัยสำคัญเมื่อส่งผลกระทบต่อการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์ที่สำคัญของผลิตภัณฑ์ หรือเปลี่ยนแปลงวัตถุประสงค์การใช้งานเดิมของผลิตภัณฑ์.

ตัวอย่างของการเปลี่ยนแปลงที่มีนัยสำคัญ

• เพิ่มฟังก์ชันการเชื่อมต่อหลัก
• การเปลี่ยนแปลงสถาปัตยกรรมการตรวจสอบสิทธิ์
• การเปลี่ยนระบบปฏิบัติการ
• ขอแนะนำแพลตฟอร์มคลาวด์ใหม่
• เพิ่มฟังก์ชันการควบคุมระยะไกล
• การเปิดใช้งานอินเทอร์เฟซเครือข่ายใหม่
• การเปลี่ยนแปลงครั้งสำคัญในซอฟต์แวร์ที่มีความสำคัญต่อความปลอดภัย
• การเปลี่ยนแปลงกลุ่มผู้ใช้หรือสภาพแวดล้อมการทำงานที่ตั้งใจไว้

การอัปเดตความปลอดภัยตามปกติที่ช่วยกู้คืนหรือรักษาความสอดคล้อง ไม่ควรถูกมองว่าเป็นการแก้ไขเปลี่ยนแปลงที่สำคัญโดยอัตโนมัติ. แต่ถึงอย่างไร, ผู้ผลิตและผู้ประกอบการปลายน้ำควรบันทึกการเปลี่ยนแปลงผลิตภัณฑ์ที่สำคัญและประเมินผลกระทบด้านกฎระเบียบ.

การติดตามตรวจสอบหลังการวางจำหน่ายและการดำเนินการแก้ไข

การปฏิบัติตามกฎระเบียบของ CRA เป็นภาระผูกพันต่อเนื่อง.

หลังจากนำผลิตภัณฑ์ออกสู่ตลาดแล้ว, ผู้ผลิตต้องติดตามข้อมูลด้านความปลอดภัยทางไซเบอร์ที่เกี่ยวข้องอย่างต่อเนื่อง.

แหล่งข้อมูลการตรวจสอบที่เป็นไปได้

แหล่งข้อมูลอาจรวมถึง:

• การทดสอบความปลอดภัยภายใน
• ข้อร้องเรียนของลูกค้า
• รายงานช่องโหว่
• นักวิจัยด้านความปลอดภัย
• ซัพพลายเออร์ชิ้นส่วน
• คำแนะนำด้านความปลอดภัยแบบโอเพนซอร์ส
• ฐานข้อมูลช่องโหว่
• บริการข่าวกรองภัยคุกคาม
• ผู้นำเข้าและผู้จัดจำหน่าย
• หน่วยงานกำกับดูแลตลาด
• ทีมตอบสนองเหตุการณ์ด้านความปลอดภัยทางคอมพิวเตอร์
• การสื่อสารของ ENISA

มาตรการแก้ไขที่เป็นไปได้

ในกรณีที่พบว่าผลิตภัณฑ์ไม่เป็นไปตามข้อกำหนดหรือก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์, ผู้ผลิตอาจจำเป็นต้องดำเนินการดังต่อไปนี้:

• แก้ไขผลิตภัณฑ์
• ออกอัปเดตความปลอดภัย
• เสนอวิธีแก้ปัญหา
• แจ้งให้ผู้ใช้ที่ได้รับผลกระทบทราบ
• แจ้งให้ผู้นำเข้าและผู้จัดจำหน่ายทราบ
• แจ้งหน่วยงานที่เกี่ยวข้อง
• จำกัดการจำหน่ายผลิตภัณฑ์
• เรียกคืนผลิตภัณฑ์
• เรียกคืนผลิตภัณฑ์

การตอบสนองควรเหมาะสมกับความเสี่ยง, แต่การไม่ดำเนินการใดๆ ไม่ใช่กลยุทธ์การปฏิบัติตามกฎระเบียบที่ยอมรับได้.

การเก็บรักษาบันทึก

ผู้ผลิตต้องเก็บรักษาเอกสารทางเทคนิคที่จำเป็นและใบรับรองความสอดคล้องของสหภาพยุโรปไว้ตามระยะเวลาที่กำหนดภายใต้ CRA.

ระบบการเก็บรักษาเอกสารที่ดีควรเก็บรักษาข้อมูลดังต่อไปนี้:

• เวอร์ชันผลิตภัณฑ์
• เวอร์ชันซอฟต์แวร์
• เวอร์ชัน SBOM
• เวอร์ชันการประเมินความเสี่ยง
• รายงานผลการทดสอบ
• การตัดสินใจเกี่ยวกับช่องโหว่
• คำแนะนำด้านความปลอดภัย
• บันทึกการดำเนินการแก้ไข
• อัปเดตประวัติ
• รายงานเหตุการณ์
• การสื่อสารของหน่วยงาน
• การประกาศความสอดคล้อง

การควบคุมเวอร์ชันมีความสำคัญอย่างยิ่ง. หน่วยงานที่เกี่ยวข้องอาจจำเป็นต้องพิจารณาว่าซอฟต์แวร์ใด, ส่วนประกอบและหลักฐานการปฏิบัติตามข้อกำหนดที่ใช้กับผลิตภัณฑ์รุ่นใดรุ่นหนึ่งในช่วงเวลาใดเวลาหนึ่ง.

บทลงโทษสำหรับการไม่ปฏิบัติตาม

กรมสรรพากรแคนาดา (CRA) กำหนดค่าปรับทางปกครองจำนวนมาก.

ขึ้นอยู่กับการละเมิด, บทลงโทษอาจสูงถึง:

• สูงสุด €15 ล้านหรือ 2 ล้าน. 5% ของยอดขายรวมทั่วโลกต่อปี, แล้วแต่ว่าอันไหนสูงกว่า, สำหรับการละเมิดร้ายแรงบางกรณี
• สูงสุด €10 ล้าน หรือ 2% ของยอดขายประจำปีทั่วโลก, แล้วแต่ว่าอันไหนสูงกว่า, สำหรับภาระผูกพันอื่นๆ
• สูงสุด €5 ล้าน หรือ 1% ของยอดขายประจำปีทั่วโลก, แล้วแต่ว่าอันไหนสูงกว่า, เนื่องจากให้ข้อมูลที่ไม่ถูกต้อง, การให้ข้อมูลที่ไม่ครบถ้วนหรือทำให้เข้าใจผิดแก่หน่วยงานที่ได้รับแจ้งหรือหน่วยงานกำกับดูแลตลาด

เจ้าหน้าที่ยังสามารถสั่งการให้ดำเนินการแก้ไขได้อีกด้วย, จำกัดหรือห้ามการขายผลิตภัณฑ์, จำเป็นต้องถอนสินค้าหรือสั่งเรียกคืนสินค้า.

ดังนั้น ผลกระทบทางด้านธุรกิจจึงอาจขยายวงกว้างออกไปมากกว่าแค่ค่าปรับ. การไม่ปฏิบัติตามอาจส่งผลกระทบต่อการเข้าถึงผู้จัดจำหน่ายในสหภาพยุโรป, ตลาดออนไลน์, ผู้ค้าปลีก, ลูกค้า, โครงการจัดซื้อจัดจ้างและความคุ้มครองประกันภัย.

แผนงานปฏิบัติจริงเพื่อการปฏิบัติตามกฎระเบียบของ CRA

ขั้นตอนที่ 1: ยืนยันขอบเขตของผลิตภัณฑ์

ตรวจสอบว่าผลิตภัณฑ์นั้นเป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลหรือไม่ และมีข้อยกเว้นใดบ้างที่ใช้ได้.

เอกสาร:

• ผลิตภัณฑ์
• ซอฟต์แวร์และเฟิร์มแวร์
• การเชื่อมต่อ
• ฟังก์ชันการประมวลผลข้อมูลระยะไกล
• วัตถุประสงค์ที่ตั้งไว้
• รูปแบบการจัดหาเชิงพาณิชย์
• ข้อยกเว้นที่เกี่ยวข้อง

ขั้นตอนที่ 2: จำแนกประเภทผลิตภัณฑ์

ตรวจสอบว่าผลิตภัณฑ์นั้นเป็น:

• ผลิตภัณฑ์เริ่มต้น
• ชั้นเรียนสำคัญที่ 1
• ชั้นเรียนที่สำคัญ II
• วิกฤต

การจำแนกประเภทจะกำหนดเส้นทางการประเมินความสอดคล้อง.

ขั้นตอนที่ 3: จัดทำแผนผังห่วงโซ่อุปทานและความรับผิดชอบ

แยกแยะ:

• ผู้ผลิตที่ถูกกฎหมาย
• นักพัฒนาซอฟต์แวร์
• ผู้ผลิตฮาร์ดแวร์
• ซัพพลายเออร์ชิ้นส่วน
• ผู้ให้บริการคลาวด์
• ผู้นำเข้าจากสหภาพยุโรป
• ผู้จัดจำหน่าย
• ผู้แทนที่ได้รับอนุญาตจากสหภาพยุโรป
• ผู้ให้บริการทดสอบ
• หน่วยงานที่ได้รับแจ้ง, เมื่อจำเป็น

ความรับผิดชอบตามสัญญาควรสนับสนุนข้อผูกพันทางกฎหมายของผู้ผลิต.

ขั้นตอนที่ 4: ดำเนินการประเมินความเสี่ยงด้านความปลอดภัยทางไซเบอร์

ระบุภัยคุกคามด้านความปลอดภัยทางไซเบอร์, ช่องโหว่, ผลกระทบที่อาจเกิดขึ้นและการควบคุมที่จำเป็น.

การประเมินควรครอบคลุมผลิตภัณฑ์ทั้งหมด, รวมถึงส่วนประกอบภายนอกและการพึ่งพาระบบคลาวด์.

ขั้นตอนที่ 5: จัดทำแผนผังความต้องการที่จำเป็น

สร้างเมทริกซ์การปฏิบัติตามข้อกำหนด โดยเชื่อมโยงข้อกำหนด CRA ที่เกี่ยวข้องแต่ละข้อเข้ากับ:

• การควบคุมผลิตภัณฑ์
• ข้อกำหนดการออกแบบ
• ขั้นตอน
• ผลการทดสอบ
• เอกสารทางเทคนิค
• บุคคลที่รับผิดชอบ
• การกระทำที่โดดเด่น

ขั้นตอนที่ 6: สร้างวงจรการพัฒนาที่ปลอดภัย

บันทึกขั้นตอนการจัดการความปลอดภัยทางไซเบอร์ในระหว่าง:

• การกำหนดข้อกำหนด
• สถาปัตยกรรม
• การพัฒนา
• การตรวจสอบโค้ด
• การเลือกส่วนประกอบ
• การทดสอบ
• ปล่อย
• การซ่อมบำรุง
• การแก้ไขช่องโหว่
• วาระสุดท้ายของชีวิต

ขั้นตอนที่ 7: จัดเตรียมและบำรุงรักษา SBOM

ระบุส่วนประกอบซอฟต์แวร์ที่เกี่ยวข้องทั้งหมด และกำหนดกระบวนการตรวจสอบช่องโหว่ที่ส่งผลกระทบต่อส่วนประกอบเหล่านั้น.

ขั้นตอนที่ 8: ดำเนินการทดสอบทางเทคนิคให้เสร็จสมบูรณ์

ขึ้นอยู่กับผลิตภัณฑ์และความเสี่ยง, การทดสอบอาจรวมถึง:

• การสแกนช่องโหว่
• การทดสอบการเจาะระบบ
• การวิเคราะห์ซอร์สโค้ด
• การวิเคราะห์องค์ประกอบซอฟต์แวร์
• การทดสอบการตรวจสอบสิทธิ์
• การตรวจสอบการเข้ารหัส
• การทดสอบอินเทอร์เฟซ
• การทดสอบกลไกการอัปเดต
• การทดสอบแบบฟัซซ์
• การทดสอบความปลอดภัยของเครือข่าย
• การทดสอบความยืดหยุ่น
• การตรวจสอบการกำหนดค่าที่ปลอดภัย

การทดสอบควรอยู่บนพื้นฐานของการประเมินความเสี่ยงและแนวทางการปฏิบัติตามข้อกำหนด.

ขั้นตอนที่ 9: กำหนดขั้นตอนการจัดการกับช่องโหว่และเหตุการณ์ที่เกิดขึ้น

จัดเตรียมขั้นตอนสำหรับ:

• การรับรายงาน
• การคัดกรองผู้ป่วย
• การประเมินความรุนแรง
• การยกระดับ
• การแก้ไข
• การเปิดเผยข้อมูล
• การสื่อสารของผู้ใช้
• รายงานของ ENISA
• การสื่อสารของหน่วยงาน
• การดำเนินการแก้ไข

ขั้นตอนที่ 10: กำหนดระยะเวลาการสนับสนุน

กำหนดและชี้แจงระยะเวลาที่ผู้ผลิตจะให้บริการการจัดการช่องโหว่และการอัปเดตด้านความปลอดภัย.

ตรวจสอบให้แน่ใจว่าซัพพลายเออร์ด้านเทคนิคและทรัพยากรด้านการพัฒนายังคงพร้อมใช้งานตลอดช่วงเวลานั้น.

ขั้นตอนที่ 11: เตรียมข้อมูลผู้ใช้และฉลาก

ทบทวน:

• การระบุผลิตภัณฑ์
• ข้อมูลผู้ผลิต
• ข้อมูลผู้นำเข้า
• เครื่องหมาย CE
• คำแนะนำด้านความปลอดภัย
• คำแนะนำในการอัปเดต
• ติดต่อเพื่อแจ้งช่องโหว่
• วันสิ้นสุดการสนับสนุน
• คำแนะนำการลบข้อมูลอย่างปลอดภัย

ขั้นตอนที่ 12: รวบรวมเอกสารทางเทคนิค

จัดระเบียบหลักฐานลงในแฟ้มเอกสารทางเทคนิคของ CRA ที่มีโครงสร้างอย่างเป็นระบบ.

ขั้นตอนที่ 13: ดำเนินการประเมินความสอดคล้องให้เสร็จสมบูรณ์

ใช้การควบคุมภายใน, หน่วยงานที่ได้รับแจ้ง หรือเส้นทางอื่นที่ได้รับอนุญาตตามการจำแนกประเภทผลิตภัณฑ์.

ขั้นตอนที่ 14: ลงนามในปฏิญญาความสอดคล้องของสหภาพยุโรป

ผู้ผลิตควรลงนามในเอกสารรับรองหลังจากที่การประเมินที่เกี่ยวข้องเสร็จสมบูรณ์และได้แสดงให้เห็นถึงความสอดคล้องแล้วเท่านั้น.

ขั้นตอนที่ 15: รักษาการปฏิบัติตามกฎระเบียบหลังการวางจำหน่าย

ตรวจสอบช่องโหว่, แจ้งข้อมูลอัปเดต, รายงานเหตุการณ์ที่เกี่ยวข้องและอัปเดตเอกสารเมื่อผลิตภัณฑ์มีการเปลี่ยนแปลง.

ข้อผิดพลาดทั่วไปในการปฏิบัติตามกฎระเบียบของ CRA

ถือว่า CRA เป็นการรับรองเพียงครั้งเดียว

CRA กำหนดให้ต้องมีการจัดการความเสี่ยงอย่างต่อเนื่อง, การอัปเดตความปลอดภัย, การติดตามและดำเนินการแก้ไข.

โดยสมมติว่าผลิตภัณฑ์ทั้งหมดสามารถรับรองตนเองได้

ผลิตภัณฑ์สำคัญระดับ Class II และผลิตภัณฑ์วิกฤตโดยทั่วไปจำเป็นต้องได้รับการประเมินจากบุคคลที่สาม. ผลิตภัณฑ์ประเภทที่ 1 อาจต้องได้รับการตรวจสอบจากหน่วยงานที่ได้รับแจ้ง ในกรณีที่ข้อกำหนดที่ได้รับการยอมรับที่เกี่ยวข้องไม่ได้ถูกนำไปใช้อย่างครบถ้วน.

การพึ่งพาการทดสอบการเจาะระบบเพียงอย่างเดียว

การทดสอบการเจาะระบบสามารถให้หลักฐานที่เป็นประโยชน์ได้, แต่สิ่งนี้ไม่สามารถทดแทนการประเมินความเสี่ยงได้, กระบวนการพัฒนาที่ปลอดภัย, ขั้นตอนการตรวจสอบช่องโหว่, เอกสารทางเทคนิคหรือภาระผูกพันด้านการสนับสนุน.

การไม่สนใจส่วนประกอบของบุคคลที่สาม

ผู้ผลิตยังคงรับผิดชอบในการประเมินความเสี่ยงที่เกิดจากไลบรารีแบบบูรณาการ, เฟิร์มแวร์, ชิปเซ็ต, ระบบปฏิบัติการและบริการคลาวด์.

การสร้าง SBOM โดยไม่ติดตามตรวจสอบ

รายการส่วนประกอบที่ล้าสมัยไม่สามารถสร้างระบบการจัดการช่องโหว่ที่มีประสิทธิภาพได้.

การประกาศระยะเวลาการให้ความช่วยเหลือที่ไม่สมจริง

ผู้ผลิตต้องสามารถจัดหาการอัปเดตด้านความปลอดภัยและจัดการกับช่องโหว่ต่างๆ ได้ตลอดระยะเวลาที่กำหนด.

การเชื่อมโยงทีมงานด้านเทคนิคกับทีมงานด้านกฎระเบียบไม่ประสบผลสำเร็จ

กำหนดเส้นตายการรายงานภายใน 24 ชั่วโมง ทำให้ต้องมีการสื่อสารภายในอย่างรวดเร็ว. ฝ่ายบริการลูกค้า, วิศวกรรม, ถูกกฎหมาย, ทีมงานด้านการปฏิบัติตามกฎระเบียบและการจัดการควรเข้าใจขั้นตอนการแจ้งปัญหาไปยังระดับที่สูงขึ้น.

รอให้มีการกำหนดมาตรฐานที่สอดคล้องกันก่อนจึงค่อยดำเนินการ

ผู้ผลิตยังคงต้องรับผิดชอบในการปฏิบัติตามกฎระเบียบ แม้ว่ามาตรฐานและแนวทางสนับสนุนจะยังคงมีการพัฒนาอย่างต่อเนื่องก็ตาม.

EaseCert สนับสนุนการปฏิบัติตามกฎระเบียบของ CRA อย่างไร

EaseCert ให้บริการ ตัวแทนที่ได้รับอนุญาตและบริการด้านการปฏิบัติตามกฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ของสหภาพยุโรป สำหรับผู้ผลิตผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัล.

บริการนี้ออกแบบมาโดยเฉพาะสำหรับผู้ผลิตที่ตั้งอยู่นอกสหภาพยุโรป ซึ่งต้องการการสนับสนุนด้านการปฏิบัติตามกฎระเบียบ และตัวแทนที่ได้รับอนุญาตซึ่งตั้งอยู่ในสหภาพยุโรป.

บริการด้านการปฏิบัติตามกฎระเบียบ CRA ของ EaseCert

บริการของเราประกอบด้วย:

• การประเมินความเหมาะสมของ CRA
• การตรวจสอบขอบเขตของผลิตภัณฑ์และซอฟต์แวร์
• การตรวจสอบการจำแนกประเภทผลิตภัณฑ์
• การทบทวนเส้นทางการประเมินความสอดคล้อง
• การตรวจสอบเอกสารทางเทคนิคที่มีอยู่
• การตรวจสอบเอกสารด้านความปลอดภัยทางไซเบอร์
• การวิเคราะห์ช่องว่างการปฏิบัติตามข้อกำหนดด้านความปลอดภัยทางไซเบอร์
• การทบทวนวงจรการพัฒนาซอฟต์แวร์ที่ปลอดภัย
• การตรวจสอบเอกลักษณ์และความสามารถในการตรวจสอบย้อนกลับของผลิตภัณฑ์
• การตรวจสอบฉลากและข้อมูลเครื่องหมาย CE
• การตรวจสอบเอกสารประกอบการใช้งานและคำแนะนำด้านความปลอดภัย
• การตรวจสอบขั้นตอนการจัดการช่องโหว่
• การตรวจสอบขั้นตอนการอัปเดตและบำรุงรักษาซอฟต์แวร์
• การตรวจสอบรายการส่วนประกอบซอฟต์แวร์
• การตรวจสอบเอกสารระยะเวลาการสนับสนุน
• การตรวจสอบปฏิญญาความสอดคล้องของสหภาพยุโรป
• รายงานการปฏิบัติตามข้อกำหนดและข้อเสนอแนะเป็นลายลักษณ์อักษร
• หนังสือมอบอำนาจผู้แทนที่ได้รับอนุญาตจากสหภาพยุโรป
• การแต่งตั้ง EaseCert GmbH เป็นตัวแทนที่ได้รับอนุญาตในสหภาพยุโรป
• การเก็บรักษาเอกสารประกาศความสอดคล้องของสหภาพยุโรปและเอกสารทางเทคนิค
• ผู้ติดต่อด้านกฎระเบียบในสหภาพยุโรป
• ให้ความช่วยเหลือเกี่ยวกับคำขออนุมัติการกำกับดูแลตลาด
• คำแนะนำด้านกฎระเบียบตลอดโครงการ

ในกรณีที่จำเป็นต้องมีการทดสอบความปลอดภัยทางไซเบอร์ทางเทคนิค, EaseCert สามารถช่วยกำหนดขอบเขตการทดสอบและประสานงานกับห้องปฏิบัติการด้านความปลอดภัยทางไซเบอร์หรือผู้ให้บริการด้านเทคนิคที่มีคุณสมบัติเหมาะสมได้.

EaseCert ไม่ได้ให้บริการทดสอบการเจาะระบบ, การวิเคราะห์ซอร์สโค้ดหรือการทดสอบความปลอดภัยทางไซเบอร์ในห้องปฏิบัติการ และไม่ได้ทำหน้าที่เป็นหน่วยงานที่ได้รับแจ้ง. ผู้ผลิตยังคงรับผิดชอบต่อความปลอดภัยทางไซเบอร์ของผลิตภัณฑ์, การประเมินความสอดคล้อง, ความแม่นยำทางเทคนิค, การจัดการช่องโหว่, การอัปเดต, การรายงานและการปฏิบัติตามอย่างต่อเนื่อง.

บทบาทของตัวแทนที่ได้รับอนุญาตของ EaseCert ในสหภาพยุโรป

สำหรับผลิตภัณฑ์ที่ได้รับการยอมรับซึ่งผลิตนอกสหภาพยุโรป, บริษัท EaseCert GmbH สามารถทำหน้าที่เป็นผู้รับรองได้ ผู้แทนที่ได้รับอนุญาตจากสหภาพยุโรป.

ภายในขอบเขตอำนาจที่ตกลงกันไว้, EaseCert สามารถ:

• ควรเก็บเอกสารรับรองความสอดคล้องของสหภาพยุโรป (EU Declaration of Conformity) ไว้ให้เจ้าหน้าที่ตรวจสอบ
• จัดเตรียมเอกสารทางเทคนิคที่จำเป็นให้พร้อมใช้งาน
• ตอบสนองต่อคำขอข้อมูลด้านการปฏิบัติตามกฎระเบียบที่มีเหตุผล
• ให้ความร่วมมือกับหน่วยงานกำกับดูแลตลาด
• สนับสนุนการตรวจสอบย้อนกลับ
• สนับสนุนการสื่อสารด้านกฎระเบียบ
• แจ้งผู้ผลิตเกี่ยวกับการสอบถามจากหน่วยงานที่เกี่ยวข้อง

การแต่งตั้งจะมีผลบังคับใช้หลังจากตรวจสอบเอกสารเสร็จสิ้นแล้ว, ผลิตภัณฑ์ได้รับการรับรองจาก EaseCert แล้ว และทั้งสองฝ่ายได้ลงนามในหนังสือมอบอำนาจเรียบร้อยแล้ว.

รับการสนับสนุนด้านการปฏิบัติตามกฎระเบียบของ CRA และการเป็นตัวแทนในสหภาพยุโรป

เริ่มเตรียมตัวสำหรับ CRA (กรมสรรพากรแคนาดา)

พระราชบัญญัติความยืดหยุ่นทางไซเบอร์ (Cyber ​​Resilience Act) สร้างกรอบการปฏิบัติตามกฎระเบียบใหม่สำหรับฮาร์ดแวร์ที่เชื่อมต่ออินเทอร์เน็ต, ซอฟต์แวร์แบบสแตนด์อโลน, ซอฟต์แวร์ฝังตัวและส่วนประกอบดิจิทัล.

สำหรับผู้ผลิต, ความท้าทายที่ใหญ่ที่สุดไม่ได้อยู่ที่การจัดทำเอกสารแสดงความสอดคล้องเพียงอย่างเดียว. การปฏิบัติตามข้อกำหนดจำเป็นต้องมีการประสานงานระหว่างฝ่ายพัฒนาผลิตภัณฑ์, ความปลอดภัยทางไซเบอร์, การประกันคุณภาพ, กิจการกำกับดูแล, ฝ่ายสนับสนุนลูกค้า, การจัดการห่วงโซ่อุปทานและการจัดการระดับสูง.

สี่คำถามที่ผู้ผลิตควรตอบ

1. กฎหมาย CRA มีผลบังคับใช้กับผลิตภัณฑ์ของเราหรือไม่?
2. ควรใช้หลักเกณฑ์การจำแนกประเภทผลิตภัณฑ์และการประเมินความสอดคล้องแบบใด?
3. เรามีหลักฐานด้านความปลอดภัยทางไซเบอร์และเอกสารทางเทคนิคเพียงพอหรือไม่?
4. เราสามารถตรวจสอบได้หรือไม่, มีการอัปเดตและให้การสนับสนุนผลิตภัณฑ์ตลอดระยะเวลาการสนับสนุนที่ระบุไว้หรือไม่?

ผู้ผลิตที่ตั้งอยู่นอกสหภาพยุโรปควรพิจารณาด้วยว่าตนเองจำเป็นต้องมีตัวแทนที่ได้รับอนุญาตจากสหภาพยุโรปหรือไม่ และจะจัดการกับคำขอจากหน่วยงานกำกับดูแลตลาดของสหภาพยุโรปอย่างไร.

EaseCert ให้การสนับสนุนผู้ผลิตในระดับนานาชาติในการตรวจสอบความเหมาะสมของ CRA, การประเมินช่องว่างการปฏิบัติตามกฎระเบียบ, บริการตรวจสอบเอกสารทางเทคนิคและตัวแทนที่ได้รับอนุญาตจากสหภาพยุโรป.

ดูข้อมูลตัวแทนที่ได้รับอนุญาตและบริการด้านการปฏิบัติตามกฎหมาย EU Cyber ​​Resilience Act ของ EaseCert

แหล่งข้อมูลอย่างเป็นทางการและแหล่งข้อมูลเพิ่มเติม

แหล่งข้อมูลอย่างเป็นทางการของสหภาพยุโรปต่อไปนี้ให้ข้อความทางกฎหมาย, คำแนะนำในการดำเนินการและข้อมูลสนับสนุนเกี่ยวกับพระราชบัญญัติความยืดหยุ่นทางไซเบอร์ของสหภาพยุโรป:

• ระเบียบ (EU) 2024/2847, พระราชบัญญัติความยืดหยุ่นทางไซเบอร์
  ข้อความอย่างเป็นทางการและมีผลผูกพันทางกฎหมายของกฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์ (Cyber ​​Resilience Act) ที่ตีพิมพ์ในวารสารทางการของสหภาพยุโรป.
• คณะกรรมาธิการยุโรป: กฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์
  หน้าหลักนโยบายของคณะกรรมาธิการยุโรปที่ครอบคลุมวัตถุประสงค์ดังกล่าว, ขอบเขต, การนำไปปฏิบัติและผลกระทบที่คาดการณ์ไว้ของพระราชบัญญัติความยืดหยุ่นทางไซเบอร์.
• คณะกรรมาธิการยุโรป: สรุปเนื้อหากฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์
  สรุปอย่างเป็นทางการเกี่ยวกับข้อกำหนดของ CRA, รวมถึงขอบเขตของผลิตภัณฑ์, ภาระผูกพันของผู้ประกอบการทางเศรษฐกิจ, การประเมินความสอดคล้องและกำหนดวันดำเนินการ.
• คณะกรรมาธิการยุโรป: คำถามที่พบบ่อยเกี่ยวกับการดำเนินการตามพระราชบัญญัติความยืดหยุ่นทางไซเบอร์
  คำตอบอย่างเป็นทางการสำหรับคำถามเชิงปฏิบัติเกี่ยวกับขอบเขตของผลิตภัณฑ์, ซอฟต์แวร์, การประมวลผลข้อมูลระยะไกล, ระยะเวลาสนับสนุน, การรายงานและการดำเนินการ.
• คณะกรรมาธิการยุโรป: การดำเนินการตามพระราชบัญญัติความยืดหยุ่นทางไซเบอร์
  ภาพรวมของกระบวนการดำเนินการตามกฎหมาย CRA, รวมถึงคำแนะนำ, กิจกรรมการกำหนดมาตรฐานและแหล่งข้อมูลสำหรับผู้ผลิตและผู้มีส่วนได้ส่วนเสียอื่นๆ.
• ENISA: แพลตฟอร์มการรายงานแบบครบวงจรภายใต้กฎหมายว่าด้วยความยืดหยุ่นทางไซเบอร์
  ข้อมูลอย่างเป็นทางการที่ผู้ผลิตแพลตฟอร์มจะใช้ในการรายงานช่องโหว่ที่ถูกโจมตีอย่างต่อเนื่องและเหตุการณ์ด้านความปลอดภัยร้ายแรงจะเริ่มตั้งแต่วันที่ 11 กันยายน 2569 เป็นต้นไป.
• ENISA: การจัดทำแผนที่มาตรฐานข้อกำหนดของพระราชบัญญัติความยืดหยุ่นทางไซเบอร์
  การศึกษาของ ENISA ที่เปรียบเทียบมาตรฐานความปลอดภัยทางไซเบอร์ที่มีอยู่กับข้อกำหนดของ CRA และระบุพื้นที่ที่ต้องการการกำหนดมาตรฐานเพิ่มเติม.
• ENISA: การดำเนินการตามพระราชบัญญัติความยืดหยุ่นทางไซเบอร์ผ่านโครงการรับรองความปลอดภัยทางไซเบอร์ของสหภาพยุโรป
  การศึกษาอย่างเป็นทางการที่ตรวจสอบว่าโครงการรับรองความปลอดภัยทางไซเบอร์ตามมาตรฐาน Common Criteria ของยุโรปสามารถสนับสนุนการประเมินความสอดคล้องของ CRA ได้อย่างไร.

บทความนี้ให้ข้อมูลทั่วไปเกี่ยวกับกฎระเบียบ และไม่ถือเป็นคำแนะนำทางกฎหมาย. ขอบเขตของผลิตภัณฑ์, การจำแนกประเภท, การประเมินความสอดคล้องและข้อกำหนดด้านเอกสารต้องได้รับการประเมินสำหรับผลิตภัณฑ์แต่ละรายการแยกกัน.