"Ingen vedligeholder den software længere. Der kommer ingen rettelse."
Hvordan 33 fejl i begravet netværkskode gjorde mere end 150 producenter ansvarlige for dele, de ikke havde lavet og ikke kunne reparere.
Fakta
Hvad skete der
Forescout offentliggjorde 33 sårbarheder i fire open source TCP/IP-stakke, den kode som indlejrede enheder bruger til at tale med et netværk.
Hvad det førte til
Potentielt millioner af enheder fra mere end 150 producenter var berørt. Nogle af de oprindelige stakke blev ikke længere vedligeholdt og ville aldrig blive rettet, så producenterne selv måtte rette eller udskifte koden.
Hvad CRA nu kræver
Due diligence ved integration af komponenter fra tredjeparter (artikel 13, stk. 5); en supportperiode på normalt mindst fem år, hvor der kan tages højde for integrerede komponenters supportperioder (artikel 13, stk. 8); kend de komponenter, I sender ud (bilag I, del II, nr. 1).
Kilde: Forescout Research Labs, AMNESIA:33
Historien
Sofie havde haft ansvaret for virksomhedens produkt i elleve måneder, og hun var god til det. En grå decembermorgen i 2020 læste hun nyheder over sin anden kop kaffe, da hun så en historie om 33 nyopdagede svagheder i fire stykker gratis software, den slags små apparater bruger til at komme på internettet. Hun genkendte ikke nogen af de fire navne, så hun slappede af og gik videre.
En time senere bankede Rasmus, hendes ledende ingeniør, på glasvæggen til hendes kontor og vendte sin computer, så hun kunne se. En af de fire var inde i deres produkt. Ikke i noget, de selv havde lavet. Den var begravet i en del, som en leverandør havde solgt dem år før, hun startede. Hun ringede til leverandøren samme eftermiddag og spurgte høfligt, hvornår de kunne forvente en rettelse. Der var en lang pause i røret. "Ingen vedligeholder den software længere," sagde kvinden. "Der kommer ingen rettelse."
Mere end 150 virksomheder sad i samme hul, hver især ansvarlige for noget, de ikke havde lavet, ikke kunne se ind i, og som ingen nogensinde ville reparere. Cyber Resilience Act er bygget til netop det øjeblik. En virksomhed skal kende hver del i sit produkt og udvise due diligence over for de dele, den køber. Så før I køber en del, spørger I leverandøren, hvor længe de vil blive ved med at rette den, skriver datoen i kalenderen og aftaler, hvad der sker, hvis de stopper. Opkaldet sker stadig. Det sker bare, før I køber.
Personerne og scenerne er illustrative. Hændelsen og fakta er virkelige.
Systemet, der ville have fanget det
6. Få leverandørerne til at love det skriftligt
Skriftlige løfter fra leverandørerne om, hvor længe de vil rette sikkerhedsfejl i deres dele, og hvor hurtigt de vil advare jer.
Sådan virker systemetKunne I gøre det i dag?
Er hver kritisk del understøttet mindst lige så længe, som I lover jeres kunder?
Hvis den gælder, hvor klar er vi?
Seks ja-eller-nej-spørgsmål, to minutter. Jeres nej'er kommer tilbage i den rækkefølge, de skal løses.
Usikker på, om CRA gælder for jeres produkt? Tjek det først