الزامات امنیت سایبری دستورالعمل RED: سری EN 18031 اکنون اجباری است

دستورالعمل تجهیزات رادیویی 2014/53/EU سال‌ها بود که سه هدف حفاظتی مرتبط با امنیت سایبری را در متن خود داشت اما اجرا نمی‌شدند. مقررات تفویضی کمیسیون (EU) 2022/30 این مواد را برای دسته‌های خاصی از تجهیزات رادیویی از ۱ اوت ۲۰۲۵ قابل اجرا کرد.

سه هدفی که به اجرا درآمد عبارتند از: 3.3(د) حفاظت شبکه، 3.3(ه) حفاظت داده شخصی و حریم خصوصی، 3.3(و) حفاظت در برابر تقلب. هر سه می‌توانند همزمان بر یک محصول اعمال شوند و اینکه کدام‌یک اعمال می‌شود به عملکرد محصول بستگی دارد.

این به معنای افزودن بخش جدیدی به پرونده انطباق محصولات رادیویی متصل به اینترنت است. جنبه رادیو و EMC تغییر نمی‌کند؛ ارزیابی امنیت سایبری در کنار آن اضافه می‌شود.

به‌عنوان استاندارد هماهنگ، EN 18031-1:2024 الزامات امنیتی مشترک برای تجهیزات رادیویی متصل به اینترنت را تعریف می‌کند. EN 18031-2:2024 تجهیزات پردازش‌کننده داده شخصی، داده ترافیک یا موقعیت را پوشش می‌دهد، در حالی که EN 18031-3:2024 تجهیزات پردازش‌کننده ارز مجازی یا ارزش پولی را پوشش می‌دهد.

هماهنگ‌بودن سری برای تولیدکننده‌ای که استاندارد را به‌طور کامل اجرا می‌کند فرض انطباق ایجاد می‌کند: او برآورده‌کننده الزامات تلقی می‌شود و پرونده می‌تواند با اظهار خود بسته شود.

فرض انطباق سری بدون قید و شرط نیست. اگر محصولی یکی از بندهای محدودشده را برانگیزد — مثلاً طراحی‌ای که به کاربر اجازه می‌دهد تنظیم رمز عبور را رد کند — فرض انطباق خودکار ایجاد نمی‌شود.

وقتی فرض ایجاد نشود، مسیر از طریق نهاد اعلام‌شده عبور می‌کند. این تفاوتی است که هم زمان‌بندی و هم هزینه را تغییر می‌دهد: پرونده‌ای که با اظهار خود بسته می‌شد، به‌خاطر یک انتخاب طراحی به ارزیابی شخص ثالث تبدیل می‌شود.

به همین دلیل خواندن بندهای محدودشده استاندارد در مرحله طراحی بسیار ارزان‌تر از خواندن آن در مرحله آزمون است. رمز عبور پیش‌فرض، راه‌اندازی اولیه قابل‌رد‌شدن و نبود مکانیزم به‌روزرسانی شایع‌ترین محرک‌ها هستند.

قانون‌گذاری اتحادیه اروپا الزامات اساسی را می‌نویسد و استانداردها معادل فنی آن را ارائه می‌دهند. وقتی الزامی لازم‌الاجرا می‌شود اما استاندارد هماهنگ آن هنوز منتشر نشده، تولیدکننده در مسیر دشواری قرار می‌گیرد: باید برآوردن الزام اساسی را با پرونده فنی خود اثبات کند یا به نهاد اعلام‌شده مراجعه کند.

وقتی استاندارد هماهنگ منتشر شود، فرض انطباق پدید می‌آید: محصول منطبق با استاندارد فرض می‌شود الزام اساسی را برآورده کرده و بار اثبات معکوس می‌شود. تولیدکننده می‌تواند اظهارنامه خود را صادر کند.

به همین دلیل دستیابی مواد امنیت سایبری به یک استاندارد هماهنگ اهمیتی جدا از خود تعهد دارد: تعهد از قبل وجود داشت و اکنون راهی استاندارد برای برآورده‌کردن آن وجود دارد.

عنوان حفاظت شبکه ایجاب می‌کند محصول به شبکه‌ای که به آن متصل می‌شود آسیب نرساند و از منابع شبکه سوءاستفاده نکند. اعتبارنامه‌های پیش‌فرض ضعیف، پورت‌های باز غیرضروری و دسترسی از راه دور بدون احراز هویت یافته‌های رایج این عنوان هستند.

عنوان حفاظت داده شخصی ایجاب می‌کند محصول داده شخصی پردازش‌شده و حریم خصوصی کاربر را حفظ کند: رمزگذاری انتقال داده، حفاظت از ذخیره‌سازی محلی، کنترل کاربر بر داده خود.

عنوان حفاظت در برابر تقلب یکپارچگی و مجوز تراکنش را در محصولات با عملکرد پرداخت یا انتقال ارزش ایجاب می‌کند. سه عنوان بر گروه‌های مختلف محصول اعمال می‌شود؛ اینکه کدام عنوان بر کدام محصول اعمال می‌شود موضوع تعیین دامنه است.

شاهد امنیت سایبری نتیجه اندازه‌گیری نیست؛ از فهرست الزامات اعمال‌شده، رابط‌های پوشش‌داده‌شده، بررسی‌های انجام‌شده و سابقه رفع یافته‌ها تشکیل می‌شود. گزارشی بدون بیانیه دامنه قابل‌خواندن نیست.

مواردی که گزارش باید ثبت کند عبارتند از: کدام نسخه سخت‌افزار، کدام نسخه نرم‌افزار، کدام رابط‌ها و کدام پیکربندی آزمون شده است. شاهدی بدون اطلاعات نسخه نمی‌تواند اعتبار خود را پس از به‌روزرسانی نرم‌افزاری بعدی حفظ کند.

پرونده با عرضه به بازار بسته نمی‌شود: تعهد پایش باز و به‌روزرسانی در طول دوره پشتیبانی ادامه دارد و این بخش زنده پرونده فنی است.