Rune Hillebo Wiinberg & Johan Callmyr
The Cyber Resilience Act (CRA): mistä tuoteyritysten kannattaa aloittaa?
Cyber Resilience Act (CRA) eli EU:n kyberkestävyyssäädös, muuttaa kyberturvallisuuden toimintaympäristöä yrityksille, jotka kehittävät digitaalisia elementtejä sisältäviä tuotteita Euroopan markkinoille. Monille valmistajille haaste ei ole enää sen ymmärtäminen, että kyberturvallisuudella on merkitystä. Se viesti on jo mennyt perille. Vaikeampi kysymys on paljon käytännöllisempi: mistä aloitamme?
CRA-valmius alkaa nykytilanteen ymmärtämisestä
Erityisesti silloin, jos markkinoilla on jo tuotteita, käytössä on vakiintuneita kehitysprosesseja ja teknologioita, joita ei alun perin suunniteltu vastaamaan nykyisiä kyberturvallisuusodotuksia.
Aikataulu tekee valmistautumisesta tärkeää. CRA:n raportointivelvoitteita on sovellettu 11. syyskuuta 2026 alkaen, ja tuotteiden keskeisiä kyberturvallisuusvaatimuksia sovelletaan 11. joulukuuta 2027 alkaen. Tuoteyrityksillä on siis selkeä syy arvioida nykytilanteensa jo nyt – ennen kuin päävaatimuksia aletaan soveltaa.
Ratkaisu ei välttämättä ole uusien tietoturvaominaisuuksien toteuttaminen ensimmäisenä. Ensin on ymmärrettävä, missä nyt ollaan.
Aloita puutteiden tunnistamisesta
GAP-analyysi tarjoaa järjestelmällisen tavan verrata nykyisiä tuotteita ja toimintatapoja vaatimuksiin, joihin organisaation on vastattava. Tarkastelun kohteena on itse laite, mutta myös paljon muuta.
Miten tuote kehitetään? Mitä ohjelmisto- ja laitteistokomponentteja se sisältää? Miten haavoittuvuuksia hallitaan? Voidaanko tuote päivittää turvallisesti? Kuka vastaa kyberturvallisuudesta julkaisun jälkeen? Mitä dokumentaatiota on saatavilla? Näihin kysymyksiin vastaaminen muodostaa lähtötilanteen.
Osa organisaatioista huomaa, että monet tarvittavista prosesseista ja teknologioista ovat jo käytössä. Toiset voivat löytää merkittäviä puutteita. Molemmat tulokset ovat hyödyllisiä. Merkityksellistä etenemissuunnitelmaa ei voi rakentaa ennen kuin lähtötilanne tunnetaan.
Turvallinen kehitys alusta lähtien
Yksi tärkeä tarkastelukohde on itse kehitysprosessi. Turvallisuuden on oltava osa tuotteiden suunnittelua ja kehittämistä sen sijaan, että se tarkistetaan vasta hieman ennen julkaisua. Secure coding, threat modelling ja kyberturvallisuuden riskiarvioinnit voivat auttaa tiimejä tunnistamaan mahdollisia ongelmia aikaisemmin.
Periaate on yksinkertainen: hyviä tietoturvapäätöksiä on yleensä helpompi tehdä arkkitehtuuria suunniteltaessa kuin yrittää myöhemmin kompensoida heikkouksia, kun arkkitehtuuri on jo lukittu.
Tämä on security by design -ajattelun perusta.
Tiedä mitä tuotteesi sisältää
Nykyaikaiset yhdistetyt tuotteet muodostuvat usein kokonaisesta komponenttien ekosysteemistä. Osa komponenteista kehitetään itse. Toiset tulevat toimittajilta, avoimen lähdekoodin projekteista tai vakiintuneista ohjelmistokehyksistä. Siksi komponenttien tietoturva on tärkeä osa kokonaisuutta.
Tiimien on ymmärrettävä, mistä tuotteet ovat riippuvaisia ja miten näitä riippuvuuksia ylläpidetään. Jos jostakin komponentista löydetään haavoittuvuus, on tiedettävä, vaikuttaako se omaan tuotteeseen ja mitä asialle voidaan tehdä.
Tämä korostuu erityisesti tuotteissa, joiden elinkaari on pitkä. Tuotteen julkaisuvaiheessa turvalliseksi katsottu ohjelmisto ei välttämättä säily turvallisena ikuisesti.
Valmistaudu haavoittuvuuksiin
Uusia haavoittuvuuksia syntyy väistämättä. Olennaista on, kuinka hyvin olet valmistautunut tilanteeseen, jossa jokin niistä koskee omaa tuotettasi.
Järjestelmällinen haavoittuvuuksien hallintaprosessi auttaa tiimejä tunnistamaan, arvioimaan ja lieventämään tietoturvaongelmia tuotteen koko elinkaaren ajan.
CVE-seuranta (Common Vulnerabilities and Exposures) on yksi osa tätä työtä. Se tarjoaa tietoa tunnetuista haavoittuvuuksista, joilla voi olla merkitystä tuotteessa käytettävälle ohjelmistolle. Seurannasta on kuitenkin hyötyä vain, jos se johtaa toimintaan.
Kuka arvioi hälytyksen? Miten sen merkityksellisyys arvioidaan? Mitä tapahtuu, jos päivitys tarvitaan? Kuinka nopeasti organisaatio pystyy reagoimaan Kyberturvallisuudesta tulee huomattavasti hallittavampaa, kun näihin kysymyksiin on vastaukset jo ennen häiriötilannetta.
Myös päivitykset tarvitsevat strategian
Kun tunnistetaan toimenpiteitä vaativa haavoittuvuus, jo käytössä olevia tuotteita voidaan joutua päivittämään. Tämä tuo mukanaan uuden joukon kysymyksiä.
Voidaanko tuote päivittää etänä? Miten päivityksen aitous varmistetaan? Mitä tapahtuu, jos päivitys epäonnistuu? Miten uusi ohjelmisto testataan ennen käyttöönottoa? Voidaanko ohjelmiston palauttaminen vanhempaan versioon estää, jotta tietoturvakorjaukset todella pysyvät käytössä?
Turvalliset ohjelmistopäivitykset, firmware signing ja asianmukainen key management voivat kaikki olla osa ratkaisua.
Testaus on yhtä tärkeää. Erillinen testiympäristö mahdollistaa tietoturvapäivitysten hyväksyntätestauksen sekä integraatio- ja suorituskykytestauksen ennen kuin ohjelmisto viedään käytössä oleviin tuotteisiin. Turvallinen päivitettävyys kannattaa siksi suunnitella tuotteeseen jo alusta lähtien.
Dokumentoinnilla on merkitystä
Kyberturvallisuudessa ei riitä, että asiat tehdään oikein. Organisaation on myös pystyttävä osoittamaan, mitä on tehty. Tämä lisää dokumentoinnin ja jäljitettävyyden merkitystä.
Tietoturvavaatimukset, riskiarvioinnit, kehitystoimet ja päätökset voidaan joutua liittämään osaksi järjestelmällistä prosessia. Joillekin organisaatioille tämä merkitsee huomattavaa kulttuurista muutosta.
Aiemmin hyvin toimineet epämuodolliset kehityskäytännöt voivat joutua muuttumaan dokumentoiduiksi prosesseiksi, joissa omistajuus ja vastuut on määritelty selkeämmin. Tämä nostaa esiin tärkeän näkökulman CRA-valmiuteen.
Kyse ei ole suunnitteluprojektista
Teknologia voi olla kyberturvallisuuden ytimessä, mutta muutokset ulottuvat usein paljon tuotekehitysosastoa laajemmalle. Ne voivat vaikuttaa R&D-toimintoihin, tuotehallintaan, laatuun, tuotantoon ja johtoon.
Olemme toteuttaneet asiakasprojektin, jossa GAP-analyysejä tehtiin eri markkinoilla ja toimialoilla käytettäville tuotteille. Työ osoitti, että kyberturvallisuuden parantaminen koski itse tuotteiden lisäksi myös kehitysprosesseja, ylläpitoa ja toimintatapoja.
Prevas toimi siksi sekä teknisenä neuvonantajana että projektipäällikkönä ja auttoi yhdistämään kyberturvallisuusvaatimukset laajempaan liiketoimintakontekstiin.
Tällä yhdistelmällä on merkitystä. Teknisesti oikea ratkaisu on hyödyllinen vain, jos organisaatio pystyy ottamaan sen käyttöön, ylläpitämään sitä ja toimimaan sen mukaisesti.
Cyber Resilience Act - muuta vaatimukset toimintasuunnitelmaksi
Cyber Resilience Act voi aluksi tuntua suurelta ja monimutkaiselta haasteelta. Kun kokonaisuus pilkotaan osiin, siitä tulee hallittavampi.
Kartoita tuotteesi. Ymmärrä riskisi. Tarkastele kehitys- ja ylläpitoprosessejasi. Tunnista puutteet. Priorisoi olennaisimmat asiat. Rakenna sitten etenemissuunnitelma, joka yhdistää kyberturvallisuusvaatimukset teknisen kehityksen ja liiketoiminnan prioriteetteihin.
Tavoitteena ei pitäisi olla pelkkä vaatimustenmukaisuus. Hyvin toteutettuna sama työ voi johtaa kestävämpiin tuotteisiin, selkeämpiin kehitysprosesseihin ja tuotteen koko elinkaaren parempaan hallintaan.
Siitä on hyvä aloittaa.
Tutustu
Lue lisää oivalluksistamme
Some Areas of Expertise
Kirjoittajista
Rune Hillebo Wiinberg toimii Prevasin kyberturvallisuusjohtajana (Head of Cybersecurity) ja on työskennellyt sulautettujen sekä turvallisten, yhdistettyjen tuotteiden parissa vuodesta 2007. Hänellä on kokemusta energia-alalta, lääkintäteknologiasta ja puolustusteollisuudesta. Hän neuvoo asiakkaita organisaation eri tasoilla ja auttaa yhdistämään liiketoiminnan prioriteetit, sääntelyvaatimukset ja teknisen tuotekehityksen.
Johan Callmyr on Software Architect, jolla on yli 20 vuoden kokemus C++-ohjelmoinnista ja sulautettujen laitteiden ohjelmistoista. Hän yhdistää teknisen osaamisensa kokemukseen ohjelmistoarkkitehtuurista, teknisestä johtamisesta, kyberturvallisuudesta sekä kehitystyöstä säännellyillä aloilla, kuten lääkintäteknologiassa. Software Architect- ja Software Lead -rooleissa hän auttaa asiakkaita rakentamaan kestäviä, turvallisia ja toimintavarmoja ohjelmistoratkaisuja monimutkaisiin tuotteisiin.