CRA-auditointi pähkinänkuoressa

Digituotteet, tietoturva ja minä

Olen koko aikuisikäni tehnyt digitaalisten laitteiden parissa töitä. Alkuun matkapuhelinten, mutta viimeiset kymmenisen vuotta erilaisten IoT-tuotteiden kanssa. Tein Nokian jälkeen dippaopinnot loppuun PLC-tietoverkon (SCADA) tietoturvaan liittyen ja jäinkin pariksi vuodeksi yliopistolle tutkijaksi.

Pian olin kuitenkin palannut töihin teollisuuteen ja pienlaitteiden pariin ja työ tietoturvan kanssa jatkui myyntiroolien ohessa. Nytkin olenkin viime aikoina tehnyt erilaisia tietoturva-arviointeja sekä laitteille että Web-ympäristöille. Lisäksi aloitin väitöskirjatutkimuksen uuden aiheen kanssa, joka liittyy vahvasti kielimalleihin. Toivotaan, että voin kertoa siitäkin pian lisää, mutta se minusta ja historiastani, minulla olisi tärkeää asiaa digitaalisten tuotteiden tietoturvasta.

Digituotteiden tietoturva EU:ssa

Usein saan lukea, että vakoilu se vaan lisääntyy ja missään ei olla turvassa jne. Milloin tehtaan valvontakamerat on kotoisin kaukaiselta valmistajalta, jolta ei pitäisi ostaa varsinkaan valvontalaitteita, koska niissä on tietoturvahaavoittuvuuksia ja omatkin tuotteet pitäisi auditoida, ettei niistä tehdä DDOS-botteja, tai käytetä johonkin muuhun ilkeään. Mistäs me saisimme apua ja ymmärrettäviä ja riittävän vaikuttavia ohjeita? Siis sellaisia ohjeita, jotka auttavat tässä ja nyt!

Voitko uskoa, Euroopan unioni julkaisi tähän liittyen uuden säädöksen.

Uhka, vai mahdollisuus? Vedetään hetki syvää henkeä ajatuksen kanssa.

Kun kuulin säädöksestä, hekottelin ensin, että no voi että, nyt ratkeaa digituotteiden tietoturvaongelmat kertarysäyksellä (lue: pahenee entisestään ja samalla varmaan saadaan maksaa jostakin). Mutta ei. Sen sijaan epäuskoni raukesi, kun luin asiasta hieman enemmän. Päädyin jopa konsultoimaan yrityksiä asiaan liittyen, koska juuri tästä nimenomaisesta säädöksestä onkin meille kaikille apua. Hienoa! Mahtavaa!

Säädöksen nimi on: Cyber Resilience Act, eli tuttavallisemmin, CRA. Lyhenne on kerrankin helppo muistaa: ajattelet vaan sanoja, jotka eivät tuo varsinaisesti mieleen tietoturvaa eikä digitaalisuutta. Hetkinen, suljen sarkasmikoneen. Se jäi vahingossa päälle edellisestä kappaleesta.

Asiaan: CRA määrittelee tietoturvavaatimukset kaikille digitaalisia elementtejä sisältäville tuotteille. Se tuli voimaan 10. joulukuuta, 2024 ja sen myötä teollisuuskoneiden, älylaitteiden ja ohjelmistojen valmistajat joutuvat osoittamaan CRA-auditoinnin kautta, että uusia vaatimuksia noudatetaan. Vasta sitten tuotteita voidaan myydä EU:n markkina-alueella. Mielestäni tämä on erinomaista!

Eli auditointeja tarjotaan ja sitten tiedetään, että laite tai tuote on niin turvallinen kuin mitä osataan tehdä, jos siinä on CE-merkintä? Kuulostaa hyvältä, mutta mites tämä aikataulu nyt oikein toimii? Jos CRA tuli voimaan jo toissa vuonna, miksi sen tunteminen ja hyödyntäminen on ajankohtaista juuri nyt eikä huomenna?

Selitän ja tarkennan hieman CRA:n aikataulua:

Täysi vaatimustenmukaisuus ja kaikkien velvoitteiden soveltaminen alkaa vasta joulukuussa 2027, mutta jo muutaman viikon päästä, syyskuun 2026 aikana, on alettava ilmoittamaan Traficomille kaikki tuotteesta löydetyt tietoturvahaavoittuvuudet. On siis erittäin tärkeää aktivoitua CRA:n suhteen viimeistään tässä vaiheessa. Jos tuosta tuli vähän hiki ja ensimmäinen ajatus on, että CRA-tekemistä näyttäisi alustavasti olevan tulossa, ei hätää, hae kuppi kahvia ja lue alta ”mummo-ohjeet”.

CRA ja sinä, eli koskeeko CRA juuri teidän tuotteitanne ja mistä sen voi päätellä?

Jos yrityksenne valmistaa jollakin tapaa digitaalisia elementtejä sisältäviä tuotteita, siinä tapauksessa vastaus on kyllä ja toimittamienne tuotteiden tietoturvavaatimusten noudattaminen on pystyttävä myös todentamaan CRA:n määrittelyiden mukaisesti.

Jos asia on kuitenkin livennyt tutkasta ja CRA-auditointi näyttää lähitulevaisuudessa vääjäämättömältä, miten vaadittu todentaminen tehdään? Saako sen tehdä itse, jos ehtii ja osaa, vai pitääkö auditointi teettää asiantuntijoiden toimesta? Vastaus on: saa tehdä, vaikka itse, jos tuotteen CRA-luokittelu antaa myöden.

Vaikka auditointi olisi vielä hyvin suunniteltu, eli oikeasti kokonaan tekemättä, ei ole mitään hätää! Olet hyvissä käsissä, koska luet jo ohjeistusta, jonka kautta pääsette liikkeelle, vaikka jo tänään. Ei ole vaikea rasti eikä auditointiakaan tarvitse tehdä itse. Lisäksi, vaikka käytännössä tarvitsisikin tehdä itse ja sana auditointi kuulostaa tottakai ensikäteen ajatellen työmäärällisesti hyvin raskaalta ja kalliilta velvoitteelta, CRA-auditointi ei onneksi sitä useinkaan ole.

Toinen kysymys: asia osui meihin, miten etenen?

Järjestä seuraavat asiat itse, tai asiantuntijan avulla.

1. Esiselvitys ja luokittelu: Määritellään ensin tuotteen CRA-luokka (suurin osa tuotteista kuuluu tavanomaiseen luokkaan, jossa itsearviointi riittää). Sen jälkeen dokumentoidaan tuotteen komponentit sekä toimittajaketjut.
2. Gap-analyysi: Auditoija tarkastelee ja vertaa tuotteen nykytilaa ja kehitysprosesseja CRA:n vaatimuksiin ja tunnistaa kohdat, jotka vaativat korjausta.
3. Korjaavat toimenpiteet & Dokumentointi: Auditoija laatii puuttuvat dokumentit (kuten SBOM ja riskienarvioinnit) ja tekniset parannukset.
4. Loppuraportti ja CE-kelpoisuus: Auditoija luo virallisen dokumentaation (Technical Documentation), jonka pohjalta voitte allekirjoittaa vaatimustenmukaisuusvakuutuksen ja kiinnittää tuotteeseen CE-merkin.

Alla vielä päävaatimukset CRA:han liittyen:

Valmistajan vastuu tuotteen tietoturvasta kestää tuotteen elinkaaren ajan tai vähintään 5 vuotta.

Security-by design: luvaton pääsy laitteille on estettävä ja tunnistautuminen tulee hoitaa niin, ettei esimerkiksi käytetä kiinteitä salasanoja ja jos laitteisto tukee turvaominaisuuksia, kuten HSM-moduuleita, niitä täytyy hyödyntää.

Kriittisiä haavoittuvuuksia on seurattava ja korjattava aktiivisesti. Lisäksi löydöksistä täytyy ilmoittaa viranomaisille 24 tunnin kuluessa. Käyttäjille on tarjottava tietoturvapäivitykset turvallisesti ja nopeasti. Haavoittuvuuksia voi seurata helposti vaikkapa niitä julkaisevasta globaalista tietokannasta.

SBOM, eli ohjelmistomateriaalin muodostaminen. Tarvitsette näkyvyyden omiinne ja ohjelmiston käyttämiin kolmannen osapuolen kirjastoihin ja avoimen lähdekoodin komponentteihin. SBOM:in keräämiseen löytyy onneksi hyviä työkaluja. Pyytäkää toimittajiltanne selvitykset heidän CRA-valmiudestaan.

Tee tai teetä ennakoiva auditointi. Mitä nopeammin otatte käyttöönne CRA-ohjeistuksen mukaiset tietoturvakäytännöt, sitä vähemmällä työmäärällä saatte vaatimukset täytettyä.

Tarvitsetteko apua?

Autamme vaikkapa kartoittamaan tuotteenne nykytilan, rakentamaan tarvittavan teknisen dokumentaation ja varmistamaan sujuvan siirtymän uuteen sääntelyyn. Saatte halutessanne samalla arvion auditoinnin hinnasta. Auditointipalvelu on saatavilla meiltä kokonaisuudessaan, kun tuotteenne kuuluu itseauditoitavien tuotteiden CRA-luokkaan. Osittainenkin apu onnistuu.

Se hinta?

Jos et tee itse, mitä CRA-auditointi maksaa?

Kokonainen auditointi maksaa keskimäärin n. 5000€ - 7000€ riippuen tuotteen sisältämistä komponenteista ja muuhun tiedonkeruuseen kuluvasta ajasta esimerkiksi kommunikoinnista mm. ulkoisten toimittajien kanssa. Jokainen tuote on erilainen ja arvioidaan siksi erikseen ennen auditointitarjousta. Mahdollisimman tarkka dokumentaatio tuotteestanne auttaa tarkentamaan työmääräarviota.

Ulkoistetussa auditoinnissa työn teille suorittaa CRA-vaatimukset osaava asiantuntija, joka on tehnyt auditointeja myös muille asiakkaille ja työ sujuu silloin nopeasti sovittujen aikataulujen mukaisesti.

Ota yhteyttä, niin keskustellaan lisää ja voitte sitten päättää, miten haluatte edetä.

Autan mielelläni!

Kirjoittaja on AtoZin johtava CRA-asiantuntija ja väitöskirjatutkija, Tommi Tiitinen, MSc