Un altro importante tassello si sta aggiungendo alla normativa europea per la protezione dell’Unione dagli attacchi cyber. È stata infatti pubblicata la proposta di “Cyber Resilience Act”, che affronta in modo trasversale la sicurezza cyber dei prodotti con componenti digitali distribuiti all’interno dell’Unione, e che può diventare una pietra miliare nel processo di miglioramento della sicurezza non solo dell’Europa, ma anche del mondo.
L’Europa sta assumendo, infatti, un ruolo sempre più importante nella regolazione dei mercati, basti pensare all’impatto del GDPR, che è anche diventato un riferimento per la produzione normativa di diversi paesi. Ma anche perché, esattamente come per decenni ha fatto la regolamentazione per il mercato delle forniture governative negli Stati Uniti, i vincoli virtuosi messi per l’accesso ad un mercato ampio e importante vengono recepiti dai fornitori a vantaggio anche dei mercati non regolamentati.
Indice degli argomenti
Regole a vantaggio di fornitori e consumatori
Naturalmente, gli interventi di regolamentazione dei mercati sono un tema delicato, ma in questo caso l’Unione sembra andare in una direzione di vantaggio sia per i fornitori che per i consumatori.
A vantaggio dei fornitori c’è la definizione di regole uniformi per un ampio mercato, con minori oneri rispetto a requisiti differenziati da paese a paese o da settore merceologico a settore merceologico; a vantaggio dei consumatori ci sono garanzie di sicurezza e trasparenza in un ambito in cui ragionevolmente non ci si può espettare che siano autonomi nella valutazione e nella selezione dei requisiti per i prodotti che acquisiscono.
Gli obiettivi del Cyber Resilience Act
Il regolamento affronta il tema della sicurezza dei prodotti che contengono componenti digitali (hardware e software, evitando aree grigie nell’interpretazione dell’applicabilità) che possano essere connessi a un dispositivo o a una rete digitale (non solo ad Internet). Gli obiettivi principali sono due:
- Assicurare che i prodotti siano immessi sul mercato con il minor numero di vulnerabilità possibile, mantenendo poi la protezione nel tempo attraverso la disponibilità di aggiornamenti, e assicurando che i produttori considerino i requisiti di cybersecurity nell’intero ciclo di vita dei loro prodotti.
- Consentire agli utenti di valutare le caratteristiche di sicurezza cyber dei prodotti e considerarle fra i criteri di selezione, prima di tutto assicurando un’adeguata trasparenza.
Data Act, forte spinta del Consiglio UE per arrivare al testo definitivo: quali novità
L’approvazione del Cyber Resilience Act in qualche mese
Si tratta di una proposta di regolamento che ha già superato le fasi di consultazione pubblica ed è quindi quella che, presumibilmente, la Commissione e il Parlamento voteranno e approveranno senza grosse modifiche. È però pur sempre una proposta, quindi non è ancora legge. Per contro, essendo un regolamento, quando sarà approvato, non avrà bisogno di una normativa di recepimento da parte degli Stati membri, se non dove specificamente indicato. Nella sostanza, ci possiamo aspettare che nel giro di qualche mese la norma entri in vigore in Italia con il testo pubblicato.
E due anni per adeguarsi alle nuove regole
I soggetti interessati avranno poi ventiquattro mesi adeguarsi, fatti salvi i requisiti di notifica delle vulnerabilità, di cui parleremo più avanti, che diventeranno efficaci dopo 12 mesi. Come sappiamo ormai, ventiquattro mesi non sono molto tempo, e quindi è bene che le aziende comincino già dai prossimi mesi a capire se e quanto saranno impattate da Regolamento, per pianificare sia le attività di notifica che quelle di adeguamento più ampio.
La caratteristica principale di questo regolamento è di essere una normativa trasversale, e proprio da questo deriva il suo impatto ampio e importante. Esistono infatti già molte norme verticali, ad esempio per i dispositivi medicali, o per settori come l’aeronautica e l’automotive, con le quali questo Regolamento si armonizza.
Cyber Resilience Act: prodotti inclusi ed esclusi
Tuttavia, il Cyber Resilience Act si applica trasversalmente a tutti i prodotti con componenti digitali il cui utilizzo “previsto o ragionevolmente prevedibile comprende il collegamento diretto o indiretto a un dispositivo o a una rete[1]”. Sono compresi quindi, ad esempio, gli auricolari bluetooth, ma anche i frigoriferi intelligenti, le videocamere di sorveglianza, e tutta una serie di prodotti che, per il solo fatto di essere connessi a una rete o a un dispositivo, possono diventarne un punto di vulnerabilità e quindi di attacco, indipendentemente da quanto siano o meno critiche le informazioni che essi stessi trattano, o le funzionalità che offrono.
Sono escluse alcune categorie di prodotti per i quali una normativa verticale è già considerata adeguata, quelli specificamente per uso esclusivamente militare, ma sono esclusi anche i servizi in senso stretto, ad esempio offerti in modalità SaaS.
Tuttavia, e questo è certamente un punto fondamentale, i servizi sono comunque compresi quando rappresentino un componente essenziale di elaborazione remota di un prodotto coperto dal regolamento, anche quando sono immessi sul mercato separatamente. Questo copre quindi, ad esempio, i componenti cloud che tipicamente fanno parte di un’architettura IoT. Stiamo parlando di prodotti, quindi non di soluzioni sviluppate ad hoc.
Un’opportunità per l’open source
C’è inoltre un’ulteriore interessante esclusione, ritrovabile indirettamente nella norma ma descritta esplicitamente nel considerando 10, e cioè il software open source sviluppato o fornito al di fuori di un’attività commerciale, e questo per non bloccare le attività di ricerca e sviluppo con requisiti onerosi che renderebbero molti progetti insostenibili. Tuttavia, prodotti commerciali che facciano uso di componenti open source dovranno fornire le garanzie previste dal regolamento anche per i componenti open source utilizzati.
Questo di fatto offre una enorme opportunità ai progetti open source, il cui software sia utilizzato da prodotti commerciali. Per essere conformi al regolamento anche per i componenti open source utilizzati, i produttori dovranno infatti assicurare un’adeguata gestione di vulnerabilità e aggiornamenti per i componenti stessi, ed è naturale che questo si traduca in accordi economici a favore della sicurezza dei componenti, anche senza interessarne o vincolarne le funzionalità.
Si potranno evitare quindi le situazioni al limite del grottesco che abbiamo avuto ad esempio con OpenSSL e Hearthbleed, dove un componente critico utilizzato da aziende fra le più grandi al mondo era mantenuto da un paio di persone per mancanza di fondi.
Cosa prevede in concreto il Cyber Resilience Act
Prima di tutto, al centro dell’attenzione del regolamento ci sono i produttori e i distributori. I produttori, in quanto devono assicurare il rispetto dei requisiti per i loro prodotti, e i distributori, principalmente in quanto possono portare sul mercato europeo prodotti esteri che di per sé non sarebbero soggetti al Regolamento, ma che lo diventano per essere distribuiti in Europa.
Questo fa sì che i requisiti si propaghino all’indietro nella supply chain, dal distributore al produttore, e da questi ai suoi fornitori, ad esempio di componenti hardware e librerie, in una logica già vista ad esempio nell’MDR. È una logica molto più efficace di quella in cui all’utente-azienda viene richiesto di adottare prodotti e servizi che rispettino determinati requisiti, e che lascia in carico all’azienda la gestione contrattuale dei requisiti e della loro improbabile verifica presso i propri fornitori.
Al centro del meccanismo definito dal regolamento c’è naturalmente il marchio CE, con la cui normativa questo Regolamento è sinergica. In particolare, è interessante quanto dichiarato al considerando 16, dove si fa riferimento al fatto che qualora un danno derivi da un’insicurezza del prodotto derivante da mancati aggiornamenti di sicurezza, i meccanismi previsti dalla Direttiva 85/374/EEC in relazione ai prodotti difettosi devono essere attivati.
Aggiornare il prodotto o ritirarlo dal mercato
Possiamo dire subito che è previsto che aggiornamenti tempestivi per le vulnerabilità note devono essere forniti per cinque anni o per il periodo di vita atteso del prodotto (il più breve fra i due). Dove questo non sia possibile, il produttore deve prendere misure che possono arrivare al ritiro o addirittura al richiamo del prodotto.
In questo sta la vera novità del regolamento, nel riconoscere che la nostra vita “digitale” ha ormai una rilevanza tale da richiedere tutele analoghe a quelle previste per prodotti difettosi che ci possano danneggiare materialmente. Pensiamo ad esempio ai tanti modelli di smartphone che, pur rimanendo ancora nel catalogo del produttore, hanno già subito dei peggioramenti nella frequenza degli aggiornamenti di sicurezza disponibili, che già sono spesso tutt’altro che tempestivi; questi stessi smartphone non adeguatamente aggiornati divengono poi preda di malware, con danni all’utente di cui secondo questo Regolamento il produttore si troverà a dover rispondere. Il Regolamento richiede che gli aggiornamenti siano disponibili per almeno cinque anni, o che il prodotto vada in End of Life prima di questo termine.
Dal punto di vista tecnico, è utile evidenziare che i canali di aggiornamento dei prodotti sono un tema molto delicato: per molti prodotti o loro componenti non è assolutamente banale effettuare un aggiornamento, con o senza il coinvolgimento dell’utente, e i canali per l’aggiornamento sono spesso essi stessi fonte di vulnerabilità importanti.
Il concetto di “responsible disclosure”
Il Cyber Resilience Act, giustamente, nei propri allegati, si limita a indicare che il fornitore deve rendere disponibili gli aggiornamenti, se possibile prevedendo meccanismi sicuri di installazione automatica, o di notifica della disponibilità all’utente, e però anche l’obbligo, una volta che l’aggiornamento sia disponibile, di dare evidenza della vulnerabilità in una logica di “responsible disclosure”.
Informare l’utente sui rischi
Il regolamento naturalmente affronta diversi ulteriori meccanismi e requisiti. Fra questi, è certamente interessante l’obbligo di effettuare e includere nella documentazione del prodotto un risk assessment, che dovrebbe consentire all’utente di valutare meglio i rischi cyber a cui si espone dell’utilizzo del prodotto, e come il prodotto li abbia affrontati e mitigati. Queste informazioni vanno fornite insieme alle istruzioni per l’utilizzo sicuro e su dove reperire e come installare gli aggiornamenti di sicurezza.
È poi di grande importanza l’obbligo per i produttori di mantenere un “bill of materials”, ovvero un elenco dei componenti utilizzati, perché le vulnerabilità note di questi componenti diventano vulnerabilità del prodotto e dovranno a loro volta essere gestite. Questo è un requisito che tocca da vicino anche aziende italiane, che troppo spesso si procurano componenti sul mercato estero seguendo solo una logica di minor costo, affrontando poi i requisiti di sicurezza quando gli accordi sono già sottoscritti e le garanzie dal fornitore sono ormai difficili da ottenere.
Big data protection: aumentare la produttività e tutelare la privacy delle persone usando i big data
Regole più stringenti per i “critical products”
Il Cyber Resilience Act individua poi alcune categorie di prodotti, dettagliate nella classe I (es. prodotti per la sicurezza come antimalware, firewall, ma anche password manager e di remote sharing) e nella classe II (es. sistemi operativi, hypervisor e microprocessori) dell’Allegato 3, che in conseguenza del maggior rischio che deriva da loro vulnerabilità, sono indicati come “critical products” e che, come specificato all’art. 6, sono soggetti a requisiti di assessment più stringenti.
È interessante che su questi elenchi e su altri punti, il regolamento deleghi la Commissione su alcune azioni, in modo da indirizzare con maggiore rapidità e flessibilità eventuali criticità che dovessero emergere nel tempo. Queste azioni vanno dalla produzione di aggiornamenti e verticalizzazioni della norma, fino ad arrivare ad azioni più incisive in caso di emergenza, come misure restrittive per prodotti critici che presentino rischi non adeguatamente gestiti.
Le istituzioni per la cyber security coinvolte
Nel presidio di queste criticità è naturalmente coinvolta l’Agenzia ENISA (l’Agenzia europea per la cybersicurezza), alla quale i produttori devono anche comunicare le vulnerabilità identificate, che ENISA a sua volta comunica poi agli CSIRT. Su questi temi di notifica e su altri, il Regolamento fa già riferimento alla Direttiva NIS2, seppure con una forma ancora provvisoria (“[Article X] of Directive [Directive XXX/XXXX (NIS2)], segno che ci si aspetta un’approvazione della Direttiva in tempi brevi e senza sostanziali modifiche. Si conferma comunque il ruolo sempre più operativo di ENISA nella gestione e nel coordinamento dei temi di cyber security a livello europeo.
Cyber Resilience Act: le sanzioni possibili
Da ultimo, non si può non accennare all’aspetto sanzionatorio previsto nel Cyber Resilience Act. Come ormai abitudine in questo genere di normativa, le sanzioni prevedono un limite legato ad un importo e ad una percentuale del fatturato annuo globale, che in questo caso possono arrivare rispettivamente a 15 milioni di euro e al 2,5% per le violazioni più gravi. È certamente evidente la volontà di avere sanzioni fortemente dissuasive nei confronti dei grossi player mondiali, nonché l’intento di sanzionare l’indebita esposizione al rischio di cittadini, imprese e del sistema Europa nel suo complesso, prima che questa esposizione si concretizzi in un danno.
Conclusione
Il Cyber Resilience Act porta la sicurezza dei prodotti con componenti digitali dagli attacchi cyber allo stesso livello, in termini di gestione e di meccanismi di tutela, della sicurezza legata ai possibili rischi di danni fisici. Si riconosce l’importanza che questi prodotti hanno ormai nella vita di tutti i giorni, con risvolti molto concreti sulla vita delle persone.
L’esperienza con il GDPR ci ha fatto vedere che i due anni per l’adeguamento alla norma non sono tanti, specialmente dato che vanno a toccare anche processi di acquisto e produttivi fondamentali per molte aziende. Ancora di più, è importante che gli aggiornamenti dei contratti con i fornitori inizino a tenere conto fin da adesso di questa novità, perché al ventiquattresimo mese dovranno già essere adeguati. Ma alla fine di tutto il processo, possiamo aspettarci un netto miglioramento del livello di sicurezza di tutto l’ecosistema digitale europeo, cosa di cui potremo certamente trarre vantaggio anche come minori costi per l’utente finale.
NOTE
Le traduzioni non sono ufficiali e sono opera dell’autore dell’articolo, il testo originale è pubblicamente disponibile in inglese. ↑
