Secure by design (bezpečnost už od návrhu) je princip, podle kterého se má kybernetická bezpečnost řešit od první fáze vývoje produktu, ne až na konci nebo po jeho vydání.

What is secure by design?

Secure by design (česky bezpečnost už od návrhu) je přístup k vývoji produktů, kdy se o bezpečnosti přemýšlí od úplného začátku. Od plánování a návrhu přes vývoj a výrobu až po údržbu. Opakem je situace, kdy se produkt nejdřív postaví, aby fungoval, a bezpečnost se řeší dodatečně, když se objeví problém. Nařízení CRA z tohoto principu dělá povinnost: výrobci musí zajistit, aby jejich produkty s digitálním prvkem byly navrženy a vyrobeny tak, aby zaručovaly přiměřenou úroveň kybernetické bezpečnosti po celý svůj životní cyklus.

How does the secure by design occur in practice

Secure by design není jedna konkrétní funkce, ale způsob uvažování promítnutý do řady konkrétních opatření. Podle CRA sem patří například:

• dodávat produkt bez známých zneužitelných zranitelností;
• nastavit bezpečnou výchozí konfiguraci (produkt je bezpečný hned po vybalení, ne až po ručním nastavení);
• chránit produkt proti neoprávněnému přístupu;
• zajistit důvěrnost, integritu a dostupnost dat;
• sbírat jen data nezbytná pro fungování produktu.

S čím secure by design souvisí?

Blízkým pojmem je „secure by default“ (bezpečné výchozí nastavení). Zatímco secure by design řeší celý přístup k vývoji, secure by default se zaměřuje konkrétně na to, aby produkt byl bezpečný už ve výchozím stavu, bez zásahu uživatele. Oba principy jdou ruku v ruce a CRA je vyžaduje společně.

Secure by design jako povinnost dle CRA

Pro výrobce produktů s digitálním prvkem není secure by design doporučení, ale podmínka uvedení produktu na trh EU. Znamená to zapracovat bezpečnost do vývojových procesů, ne ji řešit jako hasičský zásah po incidentu. Firmy, které princip zavedou včas, mají snazší cestu k prokázání shody a k označení CE. Ty, které ho podcení, zjistí náklady až ve chvíli, kdy musí produkt přepracovat.