Cyber Resilience Act
En la regulación europea, el Cyber Resilience Act (CRA) fija requisitos de seguridad para los productos con elementos digitales que se venden en el mercado europeo, y cubre todo su ciclo de vida. Alcanza a cualquier fabricante de productos conectados, que es exactamente el cliente de una auditoría de IoT, y enlaza el mundo de los dispositivos con el del cumplimiento normativo.
Cómo funciona
El Cyber Resilience Act impone obligaciones al fabricante de un producto con elementos digitales: hardware y software puestos en el mercado europeo que se conectan o que tratan datos. A grandes rasgos exige que los productos se diseñen y se construyan para ser seguros, que salgan sin vulnerabilidades explotables conocidas, que reciban actualizaciones de seguridad durante un periodo de soporte definido, y que exista un proceso para gestionar y notificar vulnerabilidades una vez el producto está desplegado. Espera además transparencia sobre los componentes que contiene un producto, cosa que conecta directamente con la idea de un software bill of materials. La conformidad se demuestra antes de poner el producto en el mercado, y los deberes continúan durante el periodo de soporte en vez de terminar con la venta.
Qué sale mal
El hueco al que apunta la regulación es el producto conectado que se vende y se olvida: firmware con credenciales incrustadas, sin mecanismo de actualización y sin proceso para atender el aviso de una vulnerabilidad cuando un investigador la encuentra. Desde el lado del atacante, ese es el objetivo fiable, porque un dispositivo que no se puede actualizar sigue siendo vulnerable toda su vida, y un fabricante sin proceso de gestión de vulnerabilidades significa que un fallo se queda abierto de forma indefinida. La regulación deja también a la vista el riesgo de la cadena de suministro: un producto hereda las vulnerabilidades de sus componentes, así que un ataque a la cadena de suministro contra una dependencia se convierte en un problema que el fabricante tiene que detectar y comunicar.
Dónde aparece esto en una auditoría
Para un fabricante de producto, una evaluación contra lo que espera el CRA prueba las propiedades de seguridad que la regulación exige: si el producto sale libre de fallos explotables conocidos, si impone integridad en el arranque mediante arranque seguro, si las actualizaciones están autenticadas y son posibles, y si los componentes están inventariados. En productos industriales el marco de control relevante suele ser IEC 62443, y los deberes de notificación se alinean con NIS2. El hallazgo se ata a las dos cosas, la vulnerabilidad técnica y la obligación que toca. Esto forma parte de cómo probamos un producto contra sus obligaciones de seguridad.