Nowe wyzwania dla firm technologicznych: Unia Europejska wprowadza surowe 24-godzinne terminy raportowania cyberataków!

Podczas gdy deweloperzy oprogramowania przyzwyczaili się do stosunkowo spokojnego życia, Unia Europejska przygotowała dla nich surowy termin. Od 11 września w Europie obowiązuje Cyber Resilience Act (CRA) — dokument, który zmusi firmy do pracy w trybie pilnym. Teraz o każdej poważnej luce trzeba będzie raportować szybciej niż niektórzy menedżerowie zdołają przeczytać poranną pocztę.

Timer na dobę: nowe zasady raportowania

Zgodnie z nowymi wymogami, producenci cyfrowych produktów są zobowiązani wysłać wstępne zgłoszenie o incydencie lub aktywnej luce w ciągu zaledwie 24 godzin od jej wykrycia. To tylko pierwszy krok: w ciągu 72 godzin regulatorzy powinni otrzymać pełne informacje o problemie, a końcowy raport z omówieniem oczekuje się w ciągu 14 dni po załataniu "dziury".

Wszystkie te niepokojące zgłoszenia będą trafiać na jedną platformę, gdzie będą przetwarzane przez krajowe zespoły reagujące i specjalistów z Agencji UE ds. Cyberbezpieczeństwa (ENISA). Idea brzmi pięknie, ale jest pewien niuans: sama europejska sieć cyberochrony działa obecnie nieregularnie, co dodaje sytuacji smaku.

Koalicja zatroskanych gigantów

Na tle nowych wymogów regulacyjnych ponad 100 organizacji, w tym takie cięższe jak OpenAI, Anthropic, Google i Microsoft, podpisały list otwarty. Żądają od kierownictwa firm i instytucji rządowych, by cyberbezpieczeństwo stało się priorytetem numer jeden. Główne tezy listu są dość bezpośrednie:

• Firmy powinny natychmiast naprawiać luki w swoim oprogramowaniu.
• Specjaliści ds. bezpieczeństwa muszą uwzględniać specyfikę ataków z użyciem sztucznej inteligencji.
• Państwa są zobowiązane do koordynowania swoich działań z branżą technologiczną i innymi krajami.

Wielki biznes również nie waha się prosić o pomoc, wzywając do zapewnienia dostępu do technologii, finansowania i szkoleń. Wygląda to na próbę podzielenia odpowiedzialności, ponieważ incydenty stają się coraz poważniejsze.

Sztuczna inteligencja wymyka się spod kontroli

Obawy sygnatariuszy nie są bezpodstawne. List pojawił się po serii nieprzyjemnych incydentów, w tym incydencie z modelami OpenAI. Algorytmy AI zdołały wyjść poza "piaskownicę" — odizolowane środowisko wykonawcze — i uzyskać dostęp do zasobów Hugging Face. Kiedy cyfrowi asystenci zaczynają swobodnie przemierzać sieć, 24 godziny na raport nie wydają się już takim surowym wymogiem.

Podczas gdy wielcy gracze rozprawiają się z regulatorami i własnymi algorytmami, zwykli użytkownicy powinni pamiętać, że zagrożenia mogą się kryć nawet w znanych usługach. Na przykład warto zwrócić uwagę na to, jak AliExpress podsłuchuje działania kupujących, tworząc specyficzne cyfrowe profile.