欧盟《网络弹性法案》：设备制造商不得不面对的新局面

随着欧盟《网络弹性法案》(CRA)的出台，网络安全成为投放欧盟市场、具有数字元素产品的核心强制性要求。在该法规全面生效后，制造商不仅需要设计安全的产品，还必须证明并记录如何在整个产品生命周期内满足并持续维持网络安全要求。

设备生命周期内的关键CRA挑战

对于面向欧盟市场的互联产品制造商而言，CRA代表着一项根本性转变。网络安全不再是一次性的设计活动，而是贯穿开发、生产、部署及长期生命周期管理的持续性工程与运营责任。

从“安全功能”到“基本网络安全要求”

CRA引入了一套产品在投放欧盟市场前必须满足的“基本网络安全要求”(ECR)。这些要求定义了预期达到的成果，例如防范未授权访问、保障软件完整性以及安全处理加密材料，但并未规定具体的实现方法。

这给制造商带来了直接的挑战，具体体现在以下几个方面：

• 必须将法规要求转化为具体的技术架构
• 专注于硬件、固件、软件、制造、IT、云及运营的多个团队，必须围绕统一的安全策略协同一致
• 早期设计决策必须考虑长期合规后果

此外，制造商还需基于产品级风险评估，证明其安全措施选择与实施的合理性，包括对任何残余风险的处理。

安全必须贯穿设计、开发、生产及整个生命周期

CRA明确要求制造商在产品的设计、开发、生产及现场运行环节减少攻击面。这影响到一些基础性架构选择，例如：

• 如何生成、存储和保护加密密钥
• 如何实现安全启动与调试访问
• 如何确保从早期原型到大规模生产过程中软件的可信来源与完整性

对许多组织而言，这意味着需要从分散或后期介入的安全实践，转向协同一致、面向生命周期的安全模式。

强制性威胁分析、风险评估与文档编制

除技术控制措施外，CRA还引入了新的流程义务，包括：

• 进行风险评估，说明如何识别、评估和缓解网络安全风险
• 编制清晰的文档，说明每一项基本网络安全要求是如何得到满足的
• 能够在合规文档中引用经验证的机制和平台

重要的是，这些文档不仅在产品发布时保持有效，而且必须在产品的整个生命周期内持续有效，即使漏洞、软件版本和加密资产不断演进。

安全的漏洞修复不再是可选项

CRA要求制造商修复漏洞，包括在适用情况下通过安全的软件更新进行修复。这带来了若干重大挑战：

• 更新机制必须遵循“设计安全”原则
• 只有经过身份验证和授权的软件才可被安装
• 更新过程必须可审计、可记录日志，并防止被滥用

对于长使用寿命的联网设备而言，这意味着软件更新基础设施不再仅仅是一种工程上的便利，而成为法规合规的组成部分。

生命周期责任的范围远不止于发货环节

CRA所带来的最重大转变之一在于，制造商的责任并不因产品发货而终止，而是体现在以下方面：

• 设备在现场部署期间必须始终保持安全且经过身份验证
• 加密材料可能需要定期更换或撤销
• 产品停产之后在很长时间内，漏洞仍需得到修复

这给那些过去以产品发布为优化目标、而非面向多年安全运营的组织，带来了持续的运营压力。

EdgeLock® 2GO如何助力应对CRA挑战

为了应对CRA带来的更高复杂度，制造商需要成熟、可扩展且可审计的安全服务，这些服务能够平滑集成到现有的设备与云架构中。

EdgeLock 2GO是恩智浦基于云的安全服务，旨在为工业与消费物联网设备提供贯穿其整个生命周期的保护，涵盖从开发、生产到部署及现场安全更新的各个阶段。在此过程中，它能够支持与满足CRA ECR要求相关的关键安全功能，同时帮助制造商长期记录、运行和维护这些功能。

面向生命周期的安全方法

EdgeLock 2GO围绕3个核心生命周期阶段构建安全能力：

• 开发阶段：在开发过程中，软件可被安全地签名和加密，设备凭证也能以可控的方式进行定义和准备
• 配置阶段：在生产过程中，设备可被大规模安全地进行配置，确保每台设备在出厂时都具备可信身份、受保护的密钥及经过身份验证的软件
• 更新阶段：设备部署后，可接收安全的无线(OTA)更新，同时设备凭证和证书在整个生命周期内持续得到管理

这种面向生命周期的安全方法，完全符合CRA关于在产品的设计、生产及运行中减少攻击面并持续维护安全的要求。

支持CRA核心安全功能

EdgeLock 2GO提供了与CRA关键期望直接对应的构建模块，具体包括：

• 安全控制参考文档：EdgeLock 2GO附带的文档描述了为保护设备身份、加密材料及软件可信来源所实施的安全控制措施，可支持CRA技术文件的编制，并与ECR相对应。
• 审计日志与可追溯性：EdgeLock 2GO提供对安全关键型操作(例如配置和生命周期操作)的日志记录与可追溯性，帮助各组织更好地开展安全审计，并清晰展示何人、何时、依据何种政策执行了何种操作。

上述技术能力，辅以恩智浦成熟的漏洞处理与安全流程，共同支持制造商履行CRA规定的组织和生命周期义务。

从合规负担到可扩展的安全战略

EdgeLock 2GO并未将CRA合规视为一次性工作，而是支持一种结构化、可扩展的安全方法。该方法与CRA的生命周期和基于风险的原则保持一致，具体能力包括：

• 在整个产品生命周期内减少攻击面
• 简化跨团队的内部安全流程
• 支持更清晰、更结构化的CRA合规路径

最终，EdgeLock 2GO帮助制造商构建、部署和维护安全设备，同时将CRA的要求作为增强产品长期安全性与信任的契机。

如需了解恩智浦如何支持制造商满足CRA生命周期与文档要求，并获取实用指导，请访问我们的欧盟《网络弹性法案》(CRA)页面。

作者