Nuo šiol išmaniųjų namų įrenginiai turės būti saugesni: gamintojams prasideda nauja ES kontrolė

Namuose jų vis daugiau, bet apie jų saugumą dažnas susimąsto tik tada, kai kažkas nutinka. Maršrutizatorius kampe veikia metų metus. Išmanusis televizorius jungiasi prie interneto. Vaiko stebėjimo kamera stovi miegamajame. Išmanioji lemputė valdoma telefonu. Robotas dulkių siurblys važinėja po namus, o vaizdo durų skambutis fiksuoja, kas prieina prie laiptinės ar kiemo vartų.

Visa tai patogu. Bet kartu visa tai yra ir prijungti įrenginiai. O prijungtas įrenginys reiškia vieną paprastą dalyką: jei jame yra saugumo spraga, ja kažkas gali pasinaudoti. Būtent dėl to Europos Sąjungoje prasideda naujas etapas – gamintojai turės rimčiau atsakyti už tai, kas vyksta su jų skaitmeniniais produktais po pardavimo.

Nuo rugsėjo 11 d. įsigalioja pirmas svarbus ES Kibernetinio atsparumo akto etapas. Dauguma naujų reikalavimų pradės galioti tik nuo 2027 m. gruodžio 11 d., tačiau viena pareiga gamintojams atsiranda jau dabar: jie turės pranešti valdžios institucijoms, jei sužinos, kad jų produkto saugumo spraga aktyviai išnaudojama arba įvyko rimtas saugumo incidentas.

Tai reiškia, kad išmaniųjų namų įrangos saugumas pamažu tampa ne vien vartotojo rūpesčiu. Atsakomybė vis labiau perkeliama ir gamintojams.

Tai liečia ne tik kompiuterius, bet ir daiktus, kuriuos jau turite namuose

Kibernetinio atsparumo aktas nėra skirtas tik didelėms įmonių sistemoms ar sudėtingai serverių įrangai. Jo logika daug platesnė. Jis taikomas prijungiamai aparatinei ir programinei įrangai – kitaip tariant, daugeliui daiktų, kurie turi skaitmeninę dalį ir gali jungtis prie tinklo.

Į šią sritį patenka maršrutizatoriai, išmanieji televizoriai, išmaniosios lemputės, kūdikių monitoriai, vaizdo durų skambučiai, laikrodžiai, robotai dulkių siurbliai, programėlės ir įvairi kompiuterinė programinė įranga. Iš esmės kalbama apie visą tą buitinę technologiją, kurią žmonės įsileido į namus dėl patogumo, bet kurios saugumu dažnai nesidomi tol, kol ji veikia.

Problema ta, kad toks įrenginys gali tapti silpnąja namų tinklo vieta. Žmogus gali turėti stiprų kompiuterio slaptažodį, saugoti telefoną ir neatsidarinėti įtartinų nuorodų, bet tuo pačiu namuose naudoti seną maršrutizatorių ar kamerą, kurios gamintojas jau seniai nebeatnaujina. Tokiu atveju pavojus atsiranda ne dėl vartotojo neatsargumo, o dėl paties produkto spragų.

Naujos ES taisyklės bando šią problemą tvarkyti sistemiškai. Gamintojas nebegalės tiesiog parduoti prijungto įrenginio ir apsimesti, kad tolesnis jo saugumas – jau tik pirkėjo reikalas.

Trys terminai, kurių gamintojai negalės ignoruoti

Svarbiausia naujos prievolės dalis – aiškūs pranešimo terminai. Jei gamintojas sužino, kad jo produkto saugumo spraga aktyviai išnaudojama arba įvyko rimtas incidentas, jis turės veikti greitai.

Pirmasis pranešimas turės būti pateiktas per 24 valandas. Tai ankstyvas įspėjimas, kad problema egzistuoja ir gali kelti realią grėsmę. Per 72 valandas reikės pateikti išsamesnį pranešimą su daugiau informacijos. O galutinė ataskaita turės būti pateikta per 14 dienų, jei kalbama apie aktyviai išnaudojamą pažeidžiamumą. Jei tai rimtas incidentas, galutinės ataskaitos terminas gali siekti vieną mėnesį.

Tai labai svarbus pokytis. Iki šiol dalis gamintojų apie problemas galėjo kalbėti vangiai, delsiai arba nepakankamai aiškiai. Dabar atsiranda konkretūs terminai, kurie turėtų sumažinti tylėjimo laiką.

Kitaip tariant, jei paaiškėja, kad kažkas realiai išnaudoja produkto saugumo spragą, informacija neturi likti uždaryta gamintojo viduje savaites ar mėnesius.

Kas laikoma rimta problema?

Ne kiekviena klaida programinėje įrangoje yra vienodai pavojinga. Tačiau reglamente išskiriami atvejai, kai gamintojas nebegali laukti. Jei yra patikimų įrodymų, kad kenkėjiškas veikėjas pasinaudojo saugumo spraga sistemoje, tai laikoma aktyviu išnaudojimu.

Rimtu incidentu laikoma tokia situacija, kuri gali paveikti produkto gebėjimą apsaugoti duomenis ar funkcijas. Taip pat pavojingas atvejis, kai problema gali leisti paleisti kenkėjišką kodą pačiame produkte ar vartotojo sistemoje.

Paprastai tariant, jei spraga leidžia įrenginiui tapti vartais į vartotojo duomenis, namų tinklą ar kitas sistemas, tai nebėra smulkmena. Tai problema, kuri turi būti fiksuojama, dokumentuojama ir perduodama atsakingoms institucijoms.

Tokie pranešimai bus siunčiami per bendrą Europos pranešimų platformą. Ji veiks kaip vienas įėjimo taškas, per kurį informacija pasieks nacionalines institucijas ir kibernetinių incidentų reagavimo komandas.

Vartotojui šią savaitę niekas staiga nepasikeis

Paprastam žmogui svarbu suprasti vieną dalyką: nuo šios datos jūsų maršrutizatorius, televizorius ar išmanioji lemputė staiga netaps kitokie. Nereikės nieko spausti, keisti ar registruoti. Pokytis pirmiausia paliečia gamintojus.

Jie turės geriau stebėti savo produktus, fiksuoti rimtas problemas, pranešti apie jas ir pasiruošti griežtesniems reikalavimams, kurie pilna apimtimi įsigalios vėliau.

Visas reglamentas turėtų pradėti veikti nuo 2027 m. gruodžio 11 d. Tada gaminiams bus keliami platesni saugumo reikalavimai: saugumas turės būti galvojamas jau nuo projektavimo pradžios, o atnaujinimai turės būti teikiami numatytu produkto gyvavimo laikotarpiu.

Tai reiškia, kad ateityje pirkėjas turėtų gauti ne tik gražią dėžutę ir programėlę telefone, bet ir aiškesnį saugumo pažadą. Įrenginys neturėtų būti paliktas likimo valiai vos tik jį nusipirkote.

Kodėl tai svarbu išmaniesiems namams?

Išmanieji namai atrodo patogiai, kol nepradedame galvoti, kiek durų į mūsų privatumą jie iš tikrųjų atidaro. Kamera mato vaiko kambarį. Televizorius jungiasi prie paskyrų. Durų skambutis fiksuoja vaizdą prie namų. Maršrutizatorius valdo visą namų internetą. Net paprasta lemputė gali būti prijungta prie programėlės ir tinklo.

Jeigu tokie įrenginiai turi spragų, jie gali tapti ta vieta, per kurią įsilaužėlis bando patekti giliau. Kartais tikslas gali būti ne pati lemputė ar dulkių siurblys, o namų tinklas, paskyros, įrenginių valdymas ar duomenys.

Todėl svarbu, kad gamintojai būtų įpareigoti ne tik reklamuoti patogumą, bet ir rūpintis saugumu. Vartotojas dažnai neturi nei techninių žinių, nei galimybių patikrinti, ar produktas saugus. Jis tiesiog perka daiktą ir tikisi, kad jis nepavers namų silpna grandimi.

Naujos taisyklės bando šį santykį pakeisti: saugumas turi būti ne papildomas priedas, o produkto dalis.

Baudos gali būti labai didelės

Gamintojams tai nėra simbolinis reikalavimas. Už pagrindinių saugumo reikalavimų pažeidimus gali grėsti iki 15 mln. eurų arba 2,5 proc. įmonės metinės pasaulinės apyvartos siekianti bauda, priklausomai nuo to, kuri suma didesnė. Už kitų įsipareigojimų pažeidimus baudos gali siekti iki 10 mln. eurų arba 2 proc. apyvartos.

Tokie skaičiai rodo, kad ES nori ne tik rekomenduoti, bet ir priversti rinką rimčiau žiūrėti į kibernetinį saugumą. Jeigu produktas neatitiks reikalavimų, nacionalinės priežiūros institucijos galės ne tik skirti baudas, bet ir šalinti produktus iš rinkos.

Gamintojams tai reiškia, kad saugumas tampa ne komunikacijos fraze, o verslo rizika. Nesaugus produktas gali kainuoti ne tik reputaciją, bet ir milijonus.

Ką verta daryti vartotojams jau dabar?

Nors naujoji prievolė tiesiogiai taikoma gamintojams, vartotojams vis tiek verta pasidaryti savo namų „skaitmeninę reviziją“. Pirmiausia pažiūrėkite, kokie įrenginiai namuose jungiasi prie interneto. Dažnai jų būna daugiau, nei žmogus mano: televizorius, spausdintuvas, kamera, robotas siurblys, lemputės, kolonėlės, termostatai, maršrutizatorius, laikrodžiai, vaikų stebėjimo įrenginiai.

Tada verta patikrinti, ar jie gauna atnaujinimus. Jeigu įrenginys metų metus neatnaujintas, o gamintojas nebesiūlo naujos programinės įrangos, tai jau signalas pagalvoti, ar jis vis dar turėtų būti prijungtas prie tinklo.

Taip pat svarbu pakeisti numatytuosius slaptažodžius. Jeigu maršrutizatorius, kamera ar kitas įrenginys vis dar naudoja gamyklinius prisijungimus, tai viena dažniausių saugumo klaidų. Stiprus slaptažodis ir įjungti automatiniai atnaujinimai yra paprasti dalykai, bet jie labai svarbūs.

Didžiausias pokytis bus ne iš karto, o palaipsniui

Šios taisyklės nepadarys taip, kad visi išmanieji namai per vieną naktį taps saugūs. Senų įrenginių problema neišnyks, o vartotojai vis tiek turės rūpintis savo slaptažodžiais, atnaujinimais ir tuo, ką jungia prie namų tinklo.

Tačiau kryptis aiški: ES nori, kad prijungti produktai būtų kuriami su saugumu nuo pat pradžių, o ne taisomi tik tada, kai jau įvyksta incidentas. Tai turėtų keisti ir gamintojų elgesį, ir vartotojų lūkesčius.

Ateityje perkant išmanųjį televizorių, maršrutizatorių ar kūdikių monitorių svarbus bus ne tik ekranas, dizainas, programėlė ar kaina. Vis svarbiau taps klausimas: kiek laiko šis daiktas gaus saugumo atnaujinimus ir kaip gamintojas reaguos, jei bus rasta spraga?

Paprasta išvada namams

Išmanieji įrenginiai tapo kasdienybe, bet ilgą laiką jų saugumas buvo lyg nematoma tema. Kol veikia – viskas gerai. Kol kamera rodo vaizdą, lemputė įsijungia, televizorius leidžia filmą, o maršrutizatorius skleidžia internetą, niekas nenori galvoti apie spragas.

Tačiau būtent šie įrenginiai gali tapti silpniausia namų grandimi. Nauji ES reikalavimai bando pakeisti taisykles: gamintojai turės greičiau pranešti apie rimtas problemas, o ateityje – iš anksto kurti saugesnius produktus.

Vartotojui šiandien svarbiausia nepanikuoti, bet būti atidesniam. Patikrinkite atnaujinimus, pakeiskite silpnus slaptažodžius, išjunkite nebenaudojamus įrenginius ir nesirinkite išmaniųjų daiktų vien pagal kainą.

Nes išmanūs namai iš tikrųjų yra išmanūs tik tada, kai jie ne tik patogūs, bet ir saugūs.