Облако в зоне риска: как CRA заставит производителей отвечать за всё, что подключено к их продукту

Представьте: вы купили «умный» чайник, который кипятит воду только через приложение. А приложение не работает без облачного сервера. Если сервер взломают — чайник может закипеть сам по себе или слить ваши данные. Кто ответит? Раньше — никто. Теперь — производитель.

Что меняет CRA для облачных сервисов?

Featured Snippet Bait: Cyber Resilience Act (CRA) обязывает производителей цифровых продуктов обеспечивать безопасность не только самого устройства, но и любых удалённых сервисов, без которых продукт не может выполнять свои функции. Это касается API, баз данных и облачных платформ.

Раньше производители часто говорили: «Наше устройство безопасно, а облако — это проблема провайдера». CRA закрывает эту лазейку. Если продукт не работает без облака — облако становится частью продукта с точки зрения безопасности.

Что именно попадает под новые требования?

• Облачные сервисы, обрабатывающие данные с устройства.
• API, через которые устройство общается с сервером.
• Базы данных, хранящие настройки или пользовательскую информацию.
• Любые удалённые компоненты, критичные для основной функции продукта.

Производитель должен будет оценивать риски для всей цепочки: от чипа до облака. И если облачный сервис окажется уязвимым — штрафы лягут на производителя, а не на облачного провайдера.

Почему это похоже на историю с лифтом и шнурком?

Представьте, что вы купили ботинки со шнурками, а производитель сказал: «Шнурки — это аксессуар, мы за них не отвечаем». Абсурд? Вот так же абсурдно было исключать облако из безопасности продукта. CRA наконец-то пришивает шнурки к ботинкам.

Что делать производителям?

Во-первых, не паниковать. Во-вторых, пересмотреть архитектуру продукта. Если вы используете облачного провайдера — проверьте его сертификаты безопасности. Если пишете своё API — закажите пентест. CRA вступает в силу постепенно, но готовиться нужно уже сейчас.

Подробнее с текстом регламента можно ознакомиться на EUR-Lex.

FAQ