EU:n uusi Cyber Resilience Act (CRA) pakottaa sulautettujen järjestelmien kehittäjät miettimään tuotteitaan uudella tavalla. Kyse ei ole enää pelkästä toiminnallisuudesta tai turvallisuudesta perinteisessä mielessä, vaan koko elinkaaren kattavasta kyberturvasta.
Uudet vaatimukset ulottuvat syvälle suunnitteluprosessiin. Järjestelmien pitää olla alusta lähtien rakennettu “security by design” -periaatteella, riskit on arvioitava systemaattisesti ja haavoittuvuuksia on kyettävä hallitsemaan koko tuotteen eliniän ajan – usein vuosikymmeniä.
Tämä tarkoittaa käytännössä lisää työtä lähes kaikille kehitysvaiheille. Pelkkä ohjelmiston julkaisu ei enää riitä, vaan valmistajan on kyettävä tarjoamaan pitkäaikainen päivitys- ja ylläpitomalli sekä dokumentoimaan tietoturvatapahtumat ja -korjaukset läpinäkyvästi.
Erityisen iso muutos koskee toimitusketjua. Kolmannen osapuolen komponenttien käyttö ei enää ole “black box”, vaan valmistajien on pystyttävä seuraamaan ja dokumentoimaan kaikki riippuvuudet. Software Bill of Materials (SBOM) nousee keskeiseksi työkaluksi, kun komponenttien alkuperä ja riskit pitää pystyä todentamaan.
Teknisellä tasolla tämä näkyy arkkitehtuurivalinnoissa. Eristysmekanismit, kuten hypervisor-pohjainen erottelu kriittisten ja ei-kriittisten toimintojen välillä, sekä secure boot ja kryptografiset päivitykset ovat nousemassa oletusvaatimuksiksi monissa sovelluksissa.
Esimerkiksi SYSGO tarjoaa ratkaisuja, joissa reaaliaikakäyttöjärjestelmä ja sulautettu Linux yhdistetään eristettyyn arkkitehtuuriin, mutta vastaavia lähestymistapoja nähdään nyt laajasti koko toimialalla. Yhtiön PikeOS yhdistää reaaliaikakäyttöjärjestelmän ja hypervisorin, jolla kriittiset ja ei-kriittiset toiminnot voidaan eristää toisistaan sekä ajallisesti että tilallisesti. Tällainen erottelu pienentää hyökkäyspintaa ja helpottaa järjestelmän osien erillistä verifiointia, mikä on keskeistä CRA:n “security by design” -vaatimuksissa. Turvatasoa tukee myös korkean varmuustason Common Criteria -sertifiointi.
Toinen osa kokonaisuutta on ELinOS, joka tuo sulautettuun kehitykseen hallitun Linux-ympäristön valmiilla tietoturvamekanismeilla, kuten secure bootilla, kryptografialla ja hallituilla päivityksillä. Näiden päälle SYSGO rakentaa pitkäaikaista ylläpitoa ja haavoittuvuuksien hallintaa, mikä auttaa valmistajia täyttämään CRA:n elinkaarivaatimukset. Malli on tyypillinen esimerkki siitä, miten toimittajat pyrkivät siirtämään osan regulaation aiheuttamasta kuormasta valmiiksi tuotteistettuihin alustoihin.
Suurin vaikutus kohdistuu turvallisuuskriittisiin aloihin, kuten teollisuusautomaatioon, ajoneuvoihin, lääketieteeseen ja puolustukseen, joissa järjestelmien käyttöikä on pitkä ja vaatimukset muutenkin tiukkoja. CRA tuo näihin ympäristöihin lisää byrokratiaa, mutta samalla myös yhtenäisemmän viitekehyksen.
