متطلبات الأمن السيبراني لتوجيهية RED: سلسلة EN 18031 إلزامية الآن

كانت توجيهية معدات الراديو 2014/53/EU تحمل منذ سنوات في نصها ثلاثة أهداف حماية متعلقة بالأمن السيبراني، لكنها لم تكن مطبَّقة. وقد جعل لائحة المفوضية المفوَّضة (EU) 2022/30 هذه المواد قابلة للتطبيق على فئات معينة من معدات الراديو اعتبارًا من 1 أغسطس 2025.

الأهداف الثلاثة التي دخلت حيز التنفيذ هي: 3.3(د) حماية الشبكة، 3.3(هـ) حماية البيانات الشخصية والخصوصية، 3.3(و) الحماية من الاحتيال. ويمكن تطبيق الثلاثة معًا على المنتج نفسه، ويُحدَّد أيها ينطبق حسب وظيفة المنتج.

يعني هذا إضافة قسم جديد إلى ملف مطابقة المنتجات الراديوية المتصلة بالإنترنت. ولا يتغيّر جانب الراديو والتوافق الكهرومغناطيسي؛ بل يُضاف إليه تقييم للأمن السيبراني.

بصفته معيارًا منسقًا، يحدد EN 18031-1:2024 متطلبات أمان مشتركة لمعدات الراديو المتصلة بالإنترنت. ويغطي EN 18031-2:2024 المعدات التي تعالج بيانات شخصية أو بيانات حركة أو بيانات موقع، بينما يغطي EN 18031-3:2024 المعدات التي تعالج عملة افتراضية أو قيمة نقدية.

كون السلسلة منسقة يمنح المصنّع الذي يطبقها بالكامل افتراض المطابقة: إذ يُعد مستوفيًا للمتطلبات، ويمكن إغلاق الملف بإقرار ذاتي.

افتراض المطابقة للسلسلة ليس غير مشروط. فإذا استوفى المنتج أحد البنود المقيَّدة — مثل تصميم يسمح للمستخدم بتخطي تعيين كلمة مرور — فلا ينشأ افتراض المطابقة التلقائي.

عندما لا ينشأ الافتراض، يمر المسار عبر جهة مُخطرة. وهذا فرق يغيّر الجدول الزمني والتكلفة معًا: فملف كان سيُغلق بإقرار ذاتي يتحول إلى تقييم من طرف ثالث بسبب خيار تصميمي واحد.

لهذا فإن قراءة البنود المقيَّدة للمعيار في مرحلة التصميم أرخص بكثير من قراءتها في مرحلة الاختبار. وتُعد كلمات المرور الافتراضية والإعداد الأولي القابل للتخطي وغياب آلية التحديث أكثر المحفزات شيوعًا.

تكتب تشريعات الاتحاد الأوروبي المتطلبات الجوهرية، بينما تقدم المعايير مكافئها التقني. وعندما يدخل متطلب حيز التنفيذ دون نشر المعيار المنسق بعد، يقع المصنّع في مسار صعب: عليه إثبات استيفاء المتطلب الجوهري بملفه التقني الخاص أو التوجه إلى جهة مُخطرة.

وعند نشر المعيار المنسق، ينشأ افتراض المطابقة: إذ يُفترض أن المنتج المطابق للمعيار يستوفي المتطلب الجوهري، ويُعكس عبء الإثبات. ويصبح بإمكان المصنّع إصدار إقراره الخاص.

لهذا فإن حصول مواد الأمن السيبراني على معيار منسق له أهمية منفصلة عن الالتزام نفسه: فالالتزام كان قائمًا بالفعل، والآن توجد طريقة معيارية للوفاء به.

يتطلب عنوان حماية الشبكة ألا يضر المنتج بالشبكة التي يتصل بها وألا يسيء استخدام موارد الشبكة. وتُعد بيانات الاعتماد الافتراضية الضعيفة والمنافذ المفتوحة غير الضرورية والوصول عن بُعد غير الموثَّق ملاحظات نمطية ضمن هذا العنوان.

يتطلب عنوان حماية البيانات الشخصية أن يحمي المنتج البيانات الشخصية التي يعالجها وخصوصية المستخدم: تشفير نقل البيانات، وحماية التخزين المحلي، وتحكم المستخدم في بياناته.

يتطلب عنوان الحماية من الاحتيال سلامة المعاملة وتفويضها في المنتجات ذات وظيفة الدفع أو نقل القيمة. وتُطبَّق العناوين الثلاثة على فئات منتجات مختلفة؛ ويكون أي عنوان ينطبق على أي منتج موضوع تحديد النطاق.

دليل الأمن السيبراني ليس نتيجة قياس؛ بل يتكون من قائمة المتطلبات المطبَّقة والواجهات المشمولة والفحوصات المنجزة وسجل معالجة الملاحظات. ولا يمكن قراءة تقرير بلا بيان نطاق.

العناصر التي يجب أن يسجلها التقرير هي: أي إصدار عتاد، وأي إصدار برمجيات، وأي واجهات وأي تهيئة جرى اختبارها. ولا يمكن لدليل بلا معلومات إصدار أن يدافع عن صلاحيته بعد التحديث البرمجي التالي.

لا يُغلق الملف عند طرح المنتج في السوق: إذ يستمر التزام المراقبة المفتوحة والتحديث طوال فترة الدعم، وهذا هو الجزء الحي من الملف التقني.