CRA: Cuando tu producto depende del cloud, el cloud también debe ser seguro

¿Qué significa que el cloud entre en la seguridad del producto?

El Cyber Resilience Act (CRA) de la Unión Europea establece que si un producto digital funciona gracias a servicios cloud, esos servicios cloud también deben cumplir con los requisitos de seguridad del CRA. Esto incluye APIs, bases de datos y cualquier infraestructura cloud que sea esencial para el funcionamiento del producto.

En otras palabras, ya no basta con asegurar el dispositivo o el software local; el fabricante debe garantizar que toda la cadena de dependencias cloud sea segura. Es como si compraras un coche y te dijeran que la gasolinera también debe ser segura para que el coche funcione correctamente.

¿Por qué es importante esta extensión?

Muchos productos modernos dependen de servicios cloud para funciones básicas: desde un termostato inteligente que necesita una API para ajustar la temperatura, hasta un coche conectado que utiliza bases de datos en la nube para actualizar su software. Si esos servicios cloud son vulnerables, el producto entero está en riesgo.

El CRA reconoce que la seguridad no termina en el hardware o software local, sino que se extiende a todo el ecosistema digital. Esto es un cambio de paradigma: los fabricantes ya no pueden delegar la seguridad en terceros sin verificar que cumplen con los estándares.

¿Qué deben hacer los fabricantes?

Los fabricantes deben realizar un análisis de riesgos que incluya todos los servicios cloud de los que depende su producto. Deben asegurarse de que esos servicios cumplan con los requisitos del CRA, como la gestión de vulnerabilidades, la actualización de software y la notificación de incidentes.

Además, deben documentar estas dependencias y establecer acuerdos contractuales con los proveedores cloud que garanticen el cumplimiento. No hacerlo puede resultar en sanciones y en la imposibilidad de comercializar el producto en la UE.

Featured Snippet: ¿Qué servicios cloud entran en el perímetro de seguridad del CRA?

El CRA incluye en el perímetro de seguridad cualquier servicio cloud que sea esencial para el funcionamiento del producto, como APIs, bases de datos, almacenamiento en la nube, autenticación remota y procesamiento de datos en servidores externos. Si el producto no puede funcionar sin ese servicio, debe cumplir con los requisitos de ciberseguridad del reglamento.

Analogía: El cloud como el sistema de riego de tu jardín

Imagina que tienes un jardín inteligente que se riega automáticamente según los datos meteorológicos de un servicio cloud. Si ese servicio cloud es hackeado y te riega en plena tormenta, el problema no es solo del servicio, sino de tu jardín. El CRA dice que el fabricante del jardín debe asegurarse de que el servicio cloud sea fiable.

Es como si el fabricante de tu cafetera tuviera que garantizar que el proveedor de electricidad también sea seguro. Suena exagerado, pero en el mundo digital, las dependencias son críticas.

Consecuencias para los fabricantes

Los fabricantes deberán revisar sus contratos con proveedores cloud y exigir garantías de seguridad. También deberán implementar mecanismos para monitorizar la seguridad de esos servicios y responder ante incidentes.

Para las startups y pymes, esto puede suponer un reto, pero también una oportunidad para diferenciarse ofreciendo productos más seguros. El CRA no es solo una carga, es una ventaja competitiva para quienes lo cumplan.

FAQ