Cyber Resilience Act เรียกร้องอะไรจากฮาร์ดแวร์
สองวันสำคัญ และวันที่ใกล้กว่ามักถูกมองข้าม
ระเบียบ (EU) 2024/2847 หรือ Cyber Resilience Act (CRA) ครอบคลุม “สินค้าที่มีองค์ประกอบดิจิทัล” ที่วางจำหน่ายในตลาดสหภาพยุโรป ในทางปฏิบัติคือทุกอย่างที่มีเฟิร์มแวร์ ซึ่งสำหรับสินค้าอิเล็กทรอนิกส์เพื่อผู้บริโภคและอุปกรณ์สุขภาพในบ้านแล้ว แทบจะเท่ากับทุกชิ้นที่ส่งออกกันอยู่ทุกวันนี้
เอกสารวางแผนส่วนใหญ่มีวันเดียว คือ 11 ธันวาคม 2027 วันที่ต้องปฏิบัติตามเต็มรูปแบบ และสินค้าที่ไม่ผ่านจะวางตลาดไม่ได้อีก โรดแมปทั้งหลายจึงเล็งไปที่วันนี้
แต่วันที่มาถึงก่อนคืออีกวันหนึ่ง 11 กันยายน 2026 ซึ่งเป็นวันที่หน้าที่แจ้งเหตุตามมาตรา 14 เริ่มมีผล มันถูกมองข้ามเพราะไม่ใช่เส้นตายด้านการออกแบบสินค้า จึงไม่ปรากฏบนตารางงานฝั่งฮาร์ดแวร์
มันควรปรากฏ เหตุผลอยู่ข้างล่าง
นาฬิกาแจ้งเหตุย้อนกลับไปหาของเก่า
ตั้งแต่ 11 กันยายน 2026 เป็นต้นไป ผู้ผลิตที่ทราบว่าสินค้าของตนมีช่องโหว่ที่กำลังถูกใช้โจมตีจริง หรือเกิดเหตุการณ์ร้ายแรงที่กระทบความปลอดภัยของสินค้า จะเข้าสู่นาฬิกาแบบเป็นขั้น
| ขั้น | นับจากเวลาที่ทราบ |
|---|---|
| แจ้งเตือนเบื้องต้น | 24 ชั่วโมง |
| แจ้งข้อมูลทางเทคนิค | 72 ชั่วโมง |
| รายงานฉบับสมบูรณ์ | 14 วัน (ช่องโหว่ที่ถูกโจมตี) / 1 เดือน (เหตุการณ์ร้ายแรง) |
ผู้รับคือ ENISA และ CSIRT ของประเทศที่เกี่ยวข้อง
ส่วนที่ควรอ่านสองรอบคือ หน้าที่แจ้งเหตุใช้กับสินค้าที่วางจำหน่ายในตลาดสหภาพยุโรปไปแล้ว รวมถึงล็อตที่วางก่อนถึงเส้นตาย ข้อกำหนดด้านการออกแบบในภาคผนวก I ใช้กับสินค้าที่วางตลาดตั้งแต่ธันวาคม 2027 เป็นต้นไป ส่วนสินค้าที่เก่ากว่านั้นจะเข้าข่ายก็ต่อเมื่อมีการแก้ไขอย่างมีนัยสำคัญ แต่หน้าที่แจ้งเหตุไม่มีเส้นแบ่งนี้
ดังนั้นคำถามที่แบรนด์ต้องตอบในเดือนกันยายน 2026 จึงเลยจุดที่ว่า “สินค้าตัวถัดไปของเราผ่านหรือยัง” ไปแล้ว คำถามจริงคือ
เครื่องที่เราส่งออกไปเมื่อปี 2023 มีช่องโหว่ที่กำลังถูกโจมตีอยู่ เราจะรู้ภายใน 24 ชั่วโมงไหม และเรารู้ว่าข้างในมีอะไรมากพอจะอธิบายปัญหาได้หรือเปล่า
สำหรับแบรนด์ฮาร์ดแวร์ส่วนใหญ่ คำตอบตรง ๆ ของครึ่งหลังคือไม่รู้ และนั่นเป็นปัญหาเรื่องบันทึกการผลิตก่อนที่จะเป็นปัญหาความปลอดภัย
→ อีกหนึ่งเส้นตายของสหภาพยุโรปที่กลายเป็นการตัดสินใจเรื่องเปลือกเครื่อง: ระเบียบแบตเตอรี่ EU 2027
ระยะเวลาสนับสนุนคือการตัดสินใจเรื่องรายการวัสดุ
ภาคผนวก I กำหนดให้ประกาศระยะเวลาสนับสนุนอย่างน้อยห้าปี หรือเท่าอายุการใช้งานที่คาดไว้หากสั้นกว่านั้น โดยผู้ซื้อต้องรู้วันสิ้นสุดตั้งแต่ตอนซื้อ ในช่วงเวลานั้นผู้ผลิตต้องจัดการช่องโหว่และส่งมอบแพตช์ความปลอดภัยโดยไม่คิดค่าใช้จ่าย
อ่านประโยคนี้ในฐานะข้อจำกัดด้านการจัดซื้อ เพราะมันคือสิ่งนั้นจริง ๆ
ถ้าโมดูลไร้สายในแบบของคุณรันอยู่บน SDK ของผู้ผลิต และ SDK นั้นเลิกได้รับแพตช์ความปลอดภัยตั้งแต่ปีที่สาม คุณก็แพตช์สิ่งที่วางอยู่บนมันไม่ได้ คุณประกาศการสนับสนุนห้าปีตอนขาย แล้วเสียความสามารถในการทำตามตั้งแต่ปีที่สาม โดยสาเหตุคือการตัดสินใจในขั้นเลือกชิ้นส่วน
จึงมีสองคำถามที่ควรเข้าไปอยู่ในการประเมินโมดูล เคียงข้างราคา ระยะเวลาส่งมอบ และแหล่งสำรอง
- ผู้ผลิตรายนี้จะออกแพตช์ความปลอดภัยให้ชิ้นส่วนนี้นานแค่ไหน เป็นลายลักษณ์อักษร และเมื่อเลิกผลิตแล้วจะเป็นอย่างไร
- มีแหล่งที่สองที่รันสแตกซึ่งเราย้ายไปได้ไหม โดยไม่ต้องออกแบบบอร์ดใหม่
ทั้งสองข้อมักไม่อยู่ในการทบทวนรายการวัสดุ แต่ทั้งคู่ควรอยู่ในบทสนทนาเดียวกับความเสี่ยงด้านการจัดหา เพราะเป็นความเสี่ยงชนิดเดียวกัน คือชิ้นส่วนใช้ไม่ได้ อย่างหนึ่งในเชิงพาณิชย์ อีกอย่างในเชิงกฎหมาย
→ ชิ้นส่วนถูกให้เกรดอย่างไรและไฟแดงหมายถึงอะไร: เมทริกซ์ความเสี่ยงการจัดหาชิ้นส่วน
SBOM ต้องอธิบายสิ่งที่อยู่ข้างในจริง ๆ
ภาคผนวก I ส่วนที่ II กำหนดให้มีรายการวัสดุซอฟต์แวร์ในรูปแบบที่ใช้กันทั่วไปและเครื่องอ่านได้ ครอบคลุมอย่างน้อยการพึ่งพาในชั้นแรก
สำหรับเว็บแอปพลิเคชัน นั่นคือผลลัพธ์จากเครื่องมือบิลด์ แต่สำหรับสินค้าที่จับต้องได้ มันคือเรื่องของการประกอบ เพราะเฟิร์มแวร์แทบไม่เคยเป็นของคุณทั้งหมด อุปกรณ์ผู้บริโภคที่เชื่อมต่อเครือข่ายทั่วไปมีสิ่งเหล่านี้อยู่ข้างใน
- เฟิร์มแวร์ระดับแอปพลิเคชันที่เขียนขึ้นสำหรับสินค้าตัวนี้
- SDK ของผู้ผลิตที่มาพร้อมโมดูลไร้สาย
- โปรโตคอลสแตก (บลูทูธ ไวไฟ เธรด) ที่ส่งมอบเป็นไฟล์ไบนารี
- ระบบปฏิบัติการเรียลไทม์
- ไลบรารีโอเพนซอร์สที่ถูกดึงเข้ามาโดยข้อใดข้อหนึ่งข้างต้น
โดยปกติแบรนด์เป็นเจ้าของเฉพาะข้อแรก และมองไม่เห็นส่วนที่เหลือเลย เพราะทั้งหมดเข้ามาผ่านโรงงานและผู้จัดหาโมดูลของโรงงาน การประกอบ SBOM ที่ใช้ได้จริงจึงหมายถึงการถามโรงงาน แล้วให้โรงงานถามต่อไปยังผู้จัดหาของเขา
คำขอนี้ถูกกว่ามากเมื่อทำระหว่างพัฒนา เทียบกับตอนเกิดเหตุแล้ว และมันยังบอกคุณด้วยว่าผู้ผลิตโมดูลยอมบอกไหมว่าในไฟล์ไบนารีของเขามีอะไร ซึ่งเป็นข้อมูลที่ควรรู้ก่อนจะเอามาใส่ในแบบ
ปลอดภัยตั้งแต่ค่าเริ่มต้น และรับอัปเดตได้
ข้อกำหนดอีกสองข้อในภาคผนวก I ตกลงมาที่การตัดสินใจด้านฮาร์ดแวร์ตั้งแต่ช่วงต้นมาก
ปลอดภัยตั้งแต่ค่าเริ่มต้น หมายถึงสินค้าออกจากโรงงานพร้อมการตั้งค่าที่ปลอดภัย ไม่มีรหัสผ่านเริ่มต้นที่ใช้ร่วมกัน ไม่มีบริการหรือพอร์ตเปิดที่ไม่จำเป็น และพื้นผิวการโจมตีถูกลดให้เล็กที่สุด สิ่งเหล่านี้คือค่าเริ่มต้นของเฟิร์มแวร์ และคนที่ตั้งค่ามักคือคนที่เขียนเฟิร์มแวร์ ถ้านั่นคือโรงงานรับจ้างผลิตของคุณ การลงมือทำเป็นของเขา ส่วนการกำหนดสเปกเป็นของคุณ
การอัปเดตความปลอดภัยฟรีตลอดระยะเวลาสนับสนุน ตั้งอยู่บนสมมติฐานว่าสินค้ารับอัปเดตได้จริง ซึ่งเรื่องนี้ไม่ใช่การตัดสินใจของฝ่ายซอฟต์แวร์
- พื้นที่แฟลช การแบ่งสองพาร์ทิชันเพื่ออัปเดตผ่านอากาศอย่างปลอดภัย ทำให้พื้นที่ที่เฟิร์มแวร์ต้องใช้เพิ่มขึ้นราวเท่าตัว ถ้ามารู้ตอนรายการวัสดุถูกล็อกแล้ว ก็เหลือแค่เปลี่ยนหน่วยความจำหรือทิ้งการอัปเดตผ่านอากาศ
- การเชื่อมต่อ อุปกรณ์ที่ไม่มีเส้นทางออกอินเทอร์เน็ตจะอัปเดตได้เฉพาะหน้างานหรือผ่านแอปคู่หู ซึ่งทั้งสองทางมีอัตราทำสำเร็จต่ำกว่าที่ภาระผูกพันห้าปีสมมติไว้มาก
- พลังงาน การอัปเดตที่รันตอนแบตเตอรี่เหลือน้อยแล้วทำให้เครื่องใช้การไม่ได้ แย่กว่าการไม่อัปเดตเลย ตรรกะการอัปเดตจึงต้องมีขีดจำกัดพลังงานขั้นต่ำ และนั่นต้องมีตัววัดระดับแบตเตอรี่
ไม่มีข้อไหนที่เติมทีหลังแล้วถูก และทุกข้อถูกตัดสินในการทบทวนทางวิศวกรรมก่อนตัดแม่พิมพ์
→ การทบทวนที่ข้อจำกัดเหล่านี้จะโผล่ออกมา: การทบทวนความเสี่ยง DFX ก่อนทำแม่พิมพ์
ในโปรเจกต์จริงจะเปลี่ยนอะไรบ้าง
สำหรับสินค้าที่กำลังเข้าสู่การพัฒนาและจะขายเข้าสหภาพยุโรป มีสามอย่างที่เปลี่ยน
- การประเมินโมดูลเพิ่มคำถามเรื่องอายุการออกแพตช์ ขอคำมั่นด้านการสนับสนุนความปลอดภัยจากผู้ผลิตเป็นลายลักษณ์อักษร และถือว่า “เราไม่เปิดเผยข้อมูลนี้” เป็นคำตอบอย่างที่มันเป็น
- SBOM กลายเป็นสิ่งที่ต้องส่งมอบ ระบุไว้ในสัญญาพัฒนาเคียงข้างแบบและรายงานผลทดสอบ เพื่อให้มันมาพร้อมสินค้า แทนที่จะต้องประกอบขึ้นใหม่ใต้นาฬิกา 24 ชั่วโมง
- ความสามารถในการอัปเดตถูกกำหนดสเปกก่อนตัดแม่พิมพ์ พื้นที่แฟลชสำรอง รูปแบบพาร์ทิชัน และเส้นทางอัปเดต ตัดสินตอนแนวคิดนั้นถูก แต่เพิ่มทีหลังตอนที่เปลือกเครื่องเสร็จแล้วนั้นแพง
ส่วนสินค้าที่อยู่ในตลาดแล้ว คำถามเฉพาะหน้าจะแคบกว่าและด่วนกว่า คุณตรวจได้ไหมว่าข้างในมีอะไร และเร็วแค่ไหน
หมายเหตุเรื่องขอบเขต
นี่คือการอ่านตัวบทกฎหมายที่ประกาศแล้ว ไม่ใช่ความเห็นทางกฎหมาย และรายละเอียดการบังคับใช้ของ CRA ยังคงถูกเติมเต็มผ่านมาตรฐานและแนวปฏิบัติ ก่อนจะวางแผนบนพื้นฐานนี้ โปรดยืนยันกับที่ปรึกษากฎหมายที่มีคุณสมบัติว่ามันใช้กับประเภทสินค้าและตลาดของคุณอย่างไร สิ่งที่นิ่งพอจะใช้ออกแบบได้คือทิศทาง การสนับสนุนด้านความปลอดภัยกลายเป็นคำมั่นที่มีการประกาศและมีวันกำกับ และการตัดสินใจที่ทำให้คำมั่นนั้นเป็นไปได้หรือเป็นไปไม่ได้ อยู่ที่ฝั่งฮาร์ดแวร์ และเกิดขึ้นเร็วมาก
→ รายละเอียดระดับแผงวงจร ตั้งแต่ผังวงจรจนถึงสาย SMT: รับจ้างผลิตสินค้าอิเล็กทรอนิกส์เพื่อผู้บริโภค
มี NDA ให้ก่อนการหารือทางเทคนิคใด ๆ