EN 18031-1, Ce que les fabricants ont besoin de réviser pour le matériel de radio connecté à Internet

La norme EN 18031-1 fait partie de la famille des normes EN 18031, qui se concentre sur les équipements radio connectés à Internet. Pour les fabricants, elle est étroitement liée à l'article 3(3)(d) de la RED, qui traite de la protection des réseaux et des ressources réseau contre les dommages ou usages abusifs causés par les équipements radio connectés.

Ce blog se concentre sur ce que cela signifie dans la pratique, ce que les équipes ont généralement besoin d'évaluer, et ce qui doit être documenté avant le lancement.

Commencez votre évaluation gratuite EN 18031

Qu’est-ce que EN 18031-1?

EN 18031-1:2024 s'appelle Exigences de sécurité communes pour l'équipement radio, Partie 1: Equipement radio connecté à Internet. Il couvre les exigences de sécurité communes pour les équipements radio capables de communiquer sur Internet, que ce soit directement ou par le biais d'autres équipements.

Pour de nombreux fabricants, cela fait de EN 18031-1 le point de départ pour vérifier si un produit connecté est conforme aux exigences de la cybersécurité RED.

Comment EN 18031-1 se connecte à l'article 3, paragraphe 3, point d)

L'article 3, paragraphe 3, point d) s'applique à l'équipement radio connecté à Internet et exige que l'équipement ne soit pas nuisible au réseau ou à son fonctionnement, et ne doit pas abuser des ressources du réseau d'une manière qui provoque une dégradation inacceptable du service.

Pour en savoir plus sur la manière dont les exigences de cybersécurité RED affectent plus largement les fabricants d'appareils connectés, consultez les exigences de cybersécurité RED.

En termes pratiques, EN 18031-1 compte quand les équipes doivent montrer que les fonctions connectées du produit sont conçues et gérées de manière à réduire ces risques.

Ce que les fabricants devraient réellement revoir

Une revue pratique EN 18031-1 commence généralement par le comportement connecté du produit. Les équipes devraient regarder à:

• comment le produit se connecte à Internet

• dépend d'un autre périphérique ou service pour la connectivité

• quelles fonctions distantes sont exposées

• comment les mises à jour sont envoyées

• comment les comptes, l'authentification et les autorisations sont gérées

• si un comportement non sécurisé peut affecter les ressources réseau ou la disponibilité du service

C'est là que les équipes réalisent souvent que la révision ne peut s'arrêter à la limite du matériel. Pour de nombreux produits connectés, la portée pertinente inclut l'appareil, l'application, l'arrière-plan et le chemin de mise à jour.

Ce qu'EN 18031-1 signifie habituellement pour le fichier technique

Les fabricants ont généralement besoin de plus qu'une déclaration indiquant que le produit est connecté et sécurisé. Ils ont besoin de documentation qui relie les fonctions connectées à Internet du produit aux exigences et aux contrôles qui les concernent. La documentation typique peut inclure :

• périmètre produit et architecture connectée

• limite du système à travers l'appareil, l'application et l'arrière-plan, le cas échéant

• identification des fonctions connectées dans la portée

• identification de tous les actifs de sécurité et de réseau

• mappage des exigences pour les contrôles pertinents

• documentation de contrôle d'accès et d'authentification

• documentation de mise à jour et de gestion des modifications

• soutenir les justifications et les références de preuves

• matériel de fichier technique lié à l'exigence RED applicable

Les preuves exactes dépendent du produit, mais la clé est que les équipes peuvent expliquer ce qui est dans la portée, ce qui a été révisé et comment les domaines de risque pertinents sont abordés.

Où les équipes sont généralement coincées

Le défi avec EN 18031-1 est rarement le titre de la norme. Le défi est de le transformer en un processus interne réalisable. Les équipes sont souvent coincées lorsque :

• l'appareil est examiné sans l'écosystème connecté autour de lui

• la portée du produit est définie de manière trop étroite

• les chemins de mise à jour sont traités comme distincts de l'examen de conformité

• la documentation de l'architecture existe, mais n'est pas liée au mapping des exigences

• la conformité, l'ingénierie et les propriétaires de sécurité ne sont pas alignés sur qui documente quoi

Les fabricants déjà familiers avec trouveront quelques chevauchements dans les sujets de sécurité, mais EN 18031-1 a un rôle réglementaire différent et devrait être examiné dans ce contexte. Cela conduit généralement à une préparation des preuves plus lente et à une plus grande incertitude plus tard dans le processus.

Quel bon examen EN 18031-1 devrait produire

Un examen approfondi devrait laisser l'équipe avec:

• une déclaration claire selon laquelle EN 18031-1 est pertinent

• une portée définie à travers le système connecté

• une vue de quelles fonctions doivent être examinées plus en profondeur

• exigences cartographiées liées à l'architecture du produit

• un point de départ structuré pour la documentation technique

• une remise plus claire dans la préparation des preuves et le travail suivant de conformité

Comment Cyberexpert aide

Cyberexpert aide les équipes à transformer EN 18031-1 en un flux de travail de préparation plus structuré. Avec Cyberexpert, les équipes peuvent :

• évaluer si EN 18031-1 est pertinent pour le produit

• définir la portée à travers les composants connectés

• revue de la structure à travers l'appareil, l'application et le backend

• créer une carte des exigences spécifiques à un produit

• construire une liste de vérification plus claire des preuves pour le travail de documentation

Commencez votre évaluation gratuite EN 18031