Nařízení o kybernetické odolnosti CRA vstoupilo do další fáze uplatňování. Ohlašovací povinnosti již platí, hlavní produktové požadavky se začnou používat 11. prosince 2027. První varování musí výrobce podat bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o události dozví. Na dokončení vyšetřování přitom může potřebovat podstatně více času.
Mohlo by vás zajímat: Jakub Hradec: Česká kancelář pojistitelů pomohla kultivovat celý trh
Pro pojišťovny je výchozím bodem určení vlastní role. Postavení výrobce může vzniknout také tehdy, když si pojišťovna nechá software vyvinout a uvádí jej na trh pod svým jménem. U konkrétní aplikace je současně nutné posoudit, zda spadá do působnosti nařízení. Samotné používání softwaru ohlašovací povinnost výrobce nezakládá. Důležité je i stáří produktu. Agentura Evropské unie pro kybernetickou bezpečnost, známá pod zkratkou ENISA, potvrzuje, že hlášení se vztahuje také na produkty uvedené na trh před 11. prosincem 2027. Rozhodující je okamžik, kdy se výrobce o aktivním zneužívání nebo závažném incidentu dozví. Povinnost tak může již nyní zasáhnout aplikaci, kterou klienti používají několik let.
U zranitelností je podmínkou doložené zneužívání. ENISA tím rozumí spolehlivé důkazy, že útočník chybu využil bez souhlasu vlastníka systému. Pouhé nalezení bezpečnostního nedostatku při testování tuto podmínku nesplňuje. U incidentů se samostatně posuzuje závažnost dopadu na bezpečnost produktu. Po prvním varování následuje podrobnější oznámení, které musí výrobce podat nejpozději do 72 hodin od zjištění. Obě lhůty běží od stejného okamžiku. Termín pro podrobnější oznámení se tedy neposouvá podle toho, kdy bylo odesláno první hlášení. Každá prodleva při úvodním posouzení zkracuje čas na přípravu dalších podkladů.
Praktický dopad ukazuje modelová situace: pojišťovna v postavení výrobce se o aktivním zneužívání zranitelnosti své aplikace dozví v pátek v 16 hodin. První varování musí podat bez zbytečného odkladu, nejpozději v sobotu v 16 hodin. Podrobnější oznámení musí následovat nejpozději v pondělí ve stejnou dobu. Víkend lhůty neprodlužuje a čekání na pondělní poradu by znamenalo zmeškání prvního termínu.
Odlišné termíny platí pro závěrečnou zprávu. U aktivně zneužívané zranitelnosti činí lhůta 14 dnů od dostupnosti nápravného opatření. U závažného incidentu jde o měsíc od podání podrobnějšího oznámení. Postup počítá s doplňováním poznatků během vyšetřování, takže první hlášení může vznikat v době, kdy rozsah problému ještě není zcela známý.
Oznámení se podává prostřednictvím jednotné ohlašovací platformy SRP, kterou provozuje ENISA. Výrobce touto cestou informuje příslušný národní tým pro řešení počítačových bezpečnostních incidentů, označovaný zkratkou CSIRT, a evropskou agenturu. Platforma je dostupná od 11. září. ENISA k ní zveřejnila návody pro registraci i podání oznámení.
Pro pojišťovnu využívající externí vývoj představuje krátká lhůta konkrétní organizační úkol. Pokud dodavatel zjistí zneužívání chyby v klientské aplikaci, musí informaci rychle předat odpovědnému pracovníkovi pojišťovny. Ten potřebuje dostatek podkladů pro posouzení ohlašovací povinnosti. Zdržení při předávání mezi servisní podporou a bezpečnostním týmem může včasnou reakci ohrozit ještě před zahájením přípravy hlášení. Smluvní pravidla pro oznamování bezpečnostních problémů by proto měla odpovídat zákonným lhůtám. Význam má určený kontakt se zástupcem pro případ nepřítomnosti a dohoda o průběžném předávání dostupných informací. Pojišťovna by si měla s dodavatelem vyjasnit také to, kdo připraví technickou část oznámení. Rozdělování těchto úkolů až během incidentu by přineslo další zdržení.
Mohlo by vás zajímat: Dva roky od povodní: Odhad pojištěných škod vzrostl o více než půl miliardy
Připravenost lze ověřit nácvikem incidentu mimo pracovní dobu. Pojišťovna při něm zjistí, zda se informace dostane k odpovědnému člověku a zda pověřený zástupce dokáže hlášení skutečně odeslat. Taková zkouška může odhalit nedostupný kontakt nebo chybějící přístup do systému. Při skutečném útoku by řešení podobné překážky spotřebovalo čas potřebný pro samotné oznámení.
Komentáře
Přidat komentář