A „ USB ” és az OT közötti folyamat: Miért az üzem kapujánál kezdődik a CRA jelentési határideje?

2026. szeptember 11-től az EU CRA (Cyber Resilience Act, kiberreziliencia-törvény) 24 órás határidőt biztosít a gyártóknak az aktívan kihasznált sebezhetőségek bejelentésére. Az OT (operatív technológia) környezetekben azok az incidensek, amelyek a legvalószínűbb, hogy elindítják ezt az időszámlálást, egy „ USB ” meghajtóról érkeznek, és a legtöbb üzemeltető még mindig nem tudja megmondani, hová került az a meghajtó ezután.

2026. szeptember 11-től az EU-ban forgalmazott, digitális elemeket tartalmazó termékek gyártóinak be kell jelenteniük az aktívan kihasznált sebezhetőségeket és a súlyos biztonsági incidenseket. Az időkeret szigorú: a tudomásszerzéstől számított 24 órán belül korai figyelmeztetést, 72 órán belül teljes körű értesítést, valamint az aktívan kihasznált sebezhetőségek esetében a javító intézkedés rendelkezésre állásától számított 14 napon belül, súlyos incidensek esetén pedig egy hónapon belül végleges jelentést kell benyújtani.

Figyeljük meg, mihez kötődik az óra: a tudatosításhoz. A rendelet minden határideje abból indul ki, hogy képesek vagyunk észlelni az eseményt, rekonstruálni annak lefolyását, és leírni a korrekciós intézkedést. Ez dokumentációs és telemetriai probléma, jóval azelőtt, hogy jogi kérdéssé válna. A kötelezettség pedig visszamenőleg is érvényes, mivel kiterjed az EU piacára már forgalomba hozott termékekre is, nem csupán azokra, amelyeket a CRA 2027. decemberi teljes hatálybalépése után szállítanak ki.

Bárki számára, aki ipari és OT-környezeteket üzemeltet vagy ellát, ez egy kellemetlen hiányosságot tár fel. Az a csatorna, amely az OT-környezetben a legvalószínűbb, hogy jelentésköteles eseményt eredményez, egyben a legkevésbé felügyelt is: a cserélhető adathordozók. A jó hír az, hogy ez egy megoldható műszaki probléma, amelyre három jól bevált ellenőrző intézkedés létezik: kötelező ellenőrzési pont a külső határon, hardveresen biztosított egyirányú adatátvitel a zónák között, valamint az összes mozgást naplózó, felügyelt adatátvitel. Mindháromra szükség van, és a sorrendjük is fontos.

A Honeywell ipari kiberbiztonsági kutatása megállapította, hogy az általa elemzett rosszindulatú programok 51%-át úgy tervezték, hogy „ USB ” eszközökön keresztül terjedjenek, ami jelentős növekedést jelent az öt évvel korábbi 9%-hoz képest. A vállalat 2025-ös fenyegetési jelentése szerint a reagálócsapat által kezelt incidensek minden negyedikében szerepelt egy „ USB ” plug-and-play esemény – jellemzően valaki csatlakoztatott egy meghajtót, amely aztán rosszindulatú programot terjesztett a rendszerbe. A cserélhető adathordozók az ICS (Industrial Control Systems, ipari vezérlőrendszerek) környezetekbe vezető egyik legmegbízhatóbb kezdeti behatolási vektorrá váltak, pontosan azért, mert megkerülik az üzemeltető által bevezetett összes hálózati ellenőrzést.

A szabványügyi szervezetek már évekkel ezelőtt felhívták erre a figyelmet. A NIST SP 800-82 Rev. 3, az operatív technológia (OT) biztonságáról szóló útmutató éppen ezért kezeli az adathordozók védelmét önálló ellenőrzési csoportként, az IEC 62443 zóna- és vezetékmodellek pedig abból indulnak ki, hogy a zónába belépő adathordozókat már ellenőrizték. A probléma ritkán a szabályzatban rejlik. A legtöbb üzemben valahol egy iratgyűjtőben hever egy, a cserélhető adathordozókra vonatkozó szabályzat. A probléma a végrehajtásban rejlik: egy olyan szabályzat, amely arra támaszkodik, hogy a vállalkozó önként odasétál egy szkennelőállomáshoz, nem eredményez semmilyen bizonyítékot azon a napon, amikor a vállalkozó inkább elsétál mellette.

Az első ellenőrzés tehát egy kötelező ellenőrzőpont a fizikai határon: egy vizsgálóállomás, amelyen minden beszállítói laptopnak, technikusok által hozott adathordozónak és firmware-frissítésnek át kell haladnia, ahol a fájlokat többféle motorral ellenőrzik, rekonstruálják a beágyazott fenyegetések eltávolítása érdekében, majd naplózzák. Két eredmény egyformán fontos: a fertőzött adathordozók soha nem jutnak be, és minden olyan adathordozó, amely mégis bejutott, nyilvántartásba kerül. A második eredmény képezi az alapját a 72 órás értesítési kötelezettségnek.

A bejáratnál végzett adatellenőrzés egy kérdésre ad választ: mi jut be. Az, hogy az adatok ezután milyen úton haladnak tovább, már egy másik kérdés.

Miután egy fájl „tiszta” lett, még el kell jutnia a vállalati oldalról az ellenőrző hálózatra, és a legtöbb üzemben ez az út egy tűzfal-szabályon keresztül vezet. A tűzfalak szoftverek; kialakításuknál fogva kétirányúak és konfigurálhatók, ami azt is jelenti, hogy helytelenül is beállíthatók. Egy bejövő fájlátvitelt engedélyező tűzfal – felépítéséből adódóan – olyan visszaútvonalat jelent, amelyet egy támadó megpróbálhat kihasználni.

Az architektúra szempontjából a megoldás az, hogy a visszatérési útvonalat nem logikailag, hanem fizikailag szüntessük meg. Az egyirányú átjárók és az adatiódák hardveresen biztosítják az egyirányú adatáramlást: az adatok átjuthatnak az alacsony bizalmi szintű oldalról a magas bizalmi szintű oldalra (vagy kifelé a vállalati hálózatba történeti adatkezelési és elemzési célokra), és ezt semmilyen protokoll, szabálymódosítás vagy kompromittált hitelesítő adat nem tudja visszafordítani. Nincs mit rosszul konfigurálni, mert eleve nincs mit konfigurálni.

Ez a szabályozási szempontból éppúgy fontos, mint a biztonság szempontjából. A CRA I. melléklete előírja, hogy a termékeknek biztosítaniuk kell az átvitt adatok titkosságát és integritását, valamint ellenállniuk kell a parancsok, programok és konfigurációk jogosulatlan manipulálásának. A „ Hardware ” által érvényesített irányított adatátvitel az egyik kevés olyan tulajdonság, amelyet a gyártó laboratóriumi körülmények között is bizonyítani tud, ahelyett, hogy csupán a műszaki adatlapban állítaná – ez pedig sokat számít, amikor a műszaki dokumentációt állítjuk össze, vagy az ellenőrrel szemben ülünk.

A legtöbb biztonságos adatátviteli projekt éppen ezen a ponton akadt el. A tisztító ellenőrzőpont és az egyirányú átjáró egy határt jelölnek ki. Nem írnak le munkafolyamatot, és a beszerzési csapatok már korán felvetik a gyakorlati kérdést: „Rendben, de hogyan juttathat el egy rotterdami mérnök egy validált PLC-konfigurációt (programozható logikai vezérlő) egy lengyelországi üzembe egy tetszőleges napon?”

Ha a megoldáshoz az kell, hogy valaki egy „ USB ” meghajtót vigyen el egy kioszkig, akkor az architektúra valójában újra előidézte azt a problémát, amelynek megoldására létrehozták.

A felügyelt fájlátvitel elkerüli ezt a problémát. A szabványos mechanizmusok – az SFTP, a REST API-k és a közvetített munkafolyamatok – lehetővé teszik a fájlok zónák közötti mozgatását anélkül, hogy azokat embernek kellene továbbítania, és minden átjutás során a fájl ugyanazt a „ multiscanning ” és „Deep CDR™ Technology” kezelést kapja, mint amit a kioszkban kapna. Minden átvitel során munkamenet-naplózás is készül: ki indította el, mit küldtek, mit mutatott a vizsgálat, hová érkezett meg, és mikor. Ez a nyomonkövetési napló adja meg az operatív választ a CRA jelentési határidejére. Ha valami mégis rosszul sül el, az, hogy a korai figyelmeztetést 24 órán belül benyújtják-e, vagy elmulasztják a határidőt, általában attól függ, hogy a napló már létezik-e, vagy interjúk alapján kell rekonstruálni.

A gyártók az ellenőrzőpontot, az átjárót és az átviteli réteget három különálló termékként értékesítik. Ezek egy adott útvonalon három pontot foglalnak el:

Ha csak a belépési problémát oldod meg, akkor egy tiszta fájlt kapsz, amelybe nincs biztonságos bejutási út. Ha csak a kereszteződést oldod meg, akkor egy megerősített határt kapsz, amelyet az emberek megkerülnek. Ha csak a műveleteket oldod meg, akkor kiváló statisztikákat kapsz a nem ellenőrzött fájlok áthelyezéséről. Az érték a teljes folyamatban rejlik.

Érdemes pontosan tisztázni, hogy a szeptemberi határidő mire vonatkozik, és mire nem. A CRA egy termékjogi szabályozás: a jelentéstételi kötelezettségek a digitális elemekkel rendelkező termékek gyártóira, importőreire és forgalmazóira vonatkoznak, nem pedig magukra az üzemeltetőkre. Az EU-ban a kritikus infrastruktúrák üzemeltetőire közvetlenebbül az NIS2 vonatkozik, amely saját incidensbejelentési kötelezettségeket ír elő.

A gyakorlatban azonban mindkettő ugyanarra a képességre irányul. Akár a CRA értelmében gyártóként, akár az NIS2 értelmében kulcsfontosságú szervezetként vonatkozik rád ez a kötelezettség, azt kérik tőled, hogy gyorsan észleld az eseményt, magyarázd el, hogyan történtek az adatmozgások, és mutasd be a bevezetett ellenőrző intézkedéseket. Egy megfelelően felszerelt adatfolyamat mindhárom követelménynek megfelel. Egy szabályzati dokumentum – bármilyen gondosan is legyen megfogalmazva – egyikre sem ad választ.