ما تعنيه المادة 3-3 من الممارسة العملية لجهات تصنيع الأجهزة الموصولة

فالمادة 3-3 من التوجيه المتعلق بالمعدات اللاسلكية لها أهميتها لأنها تضيف شروطا تتجاوز السلامة، ومصرف التضمين الرقمي، واستخدام الأطياف لفئات معينة من المعدات اللاسلكية. وبالنسبة لمصنعي الأجهزة المترابطة، فإن هذا يعني أن الالتزامات المتصلة بأمن الفضاء الحاسوبي والخصوصية والغش تحتاج الآن إلى النظر فيها في وقت مبكر في تصميم المنتجات والوثائق وتخطيط الإطلاق. وقامت المفوضية الأوروبية بتفعيل المواد 3 (3) (د) و (هـ) و (و) من خلال لائحة التفويض (الاتحاد الأوروبي) 2022/30، وتنطبق هذه المتطلبات اعتبارا من 1 آب/أغسطس 2025.

ما هي التغييرات التي تطرحها المادة 3-3 على الجهات المصنعة

وفيما يتعلق بالمنتجات ذات النطاق، تغير المادة 3-3 الحوار المتعلق بالامتثال من الامتثال للمنتجات العامة إلى الالتزامات المتعلقة بأمن الفضاء الحاسوبي لمنتجات محددة. وعلى المصنِّعين أن يقيِّموا ما إذا كان المنتج يندرج ضمن النطاق، وأن يحدِّدوا الشروط الإضافية المنطبقة، واستكمال الوثائق التقنية وإعلان التوافق للاتحاد الأوروبي وفقاً لذلك. تشير صحيفة الوقائع لحكومة المملكة المتحدة أيضاً إلى أنه يجب على المصنعين أن يتأكدوا من وجود الوثائق المناسبة قبل وضع المنتج في السوق.

ومن الناحية العملية، يؤثر ذلك على:

• نطاق المنتج

• الوثائق التقنية

• تقييم المطابقة

• جاهزية الإطلاق

• الانتقال بين فرق الهندسة والامتثال وأمن المنتجات

وللاطلاع على لمحة عامة أوسع عن التنظيم نفسه، انظر متطلبات الأمن السيبراني في مجال تكنولوجيا المعلومات والاتصالات.

المواد 3 (3) (د) و (هـ) و (و) في الممارسة العملية

وتتضمن المادة 3-3 من التوجيه المتعلق بالمعدات اللاسلكية اشتراطات أساسية إضافية لفئات معينة من المعدات اللاسلكية. وفيما يتعلق بموضوع الأمن الحاسوبي، فإن الأحكام الرئيسية هي المادة 3 (3) (د) و (هـ) و (و) التي تم تفعيلها من خلال اللائحة التنظيمية المفوضة (الاتحاد الأوروبي) 2022/30. وتوضح المفوضية الأوروبية أن هذا القانون المخول قد أُدخل لتعزيز الأمن الحاسوبي وحماية البيانات الشخصية والخصوصية لفئات معينة من المعدات اللاسلكية.

المادة 3 (3) (د)، حماية الشبكات وموارد الشبكات

وتنطبق المادة 3 (3) (د) على معدات اللاسلكي التي يمكن أن تتواصل عبر الإنترنت، سواء مباشرة أو عن طريق معدات أخرى. يشترط ألا تضر المعدات بالشبكة أو بتشغيلها، ويجب ألا يسيء استخدام موارد الشبكة على نحو يسبب تدهورا غير مقبول للخدمات.

بالنسبة للمنتجين، يعني هذا عادة النظر في أسئلة مثل:

• يمكن إساءة استخدام المنتج لتحميل أو تعطيل شبكة

• يمكن أن يسيء استخدام موارد الشبكة من خلال سلوك غير آمن

• القيام بتحديث وظائف الاتصال أو التحكم عن بعد التي تخلق التعرض الذي يمكن تجنبه

• هل هناك ضوابط قائمة للحد من هذه المخاطر

وفي الواقع العملي، غالبا ما يسحب هذا أكثر من المعدات. قد تحتاج الفرق إلى تقييم الجهاز، وطريقة اتصاله، وأي تطبيق داعم، وتبعيات الخلفية، ومسار التحديث.

المادة 3 (3) (هـ)، حماية البيانات الشخصية وخصوصيتها

المادة 3(3)(هـ) تنطبق على أجهزة الراديو المتصلة بالإنترنت التي تعالج البيانات الشخصية، بيانات الحركة أو بيانات الموقع. كما تنطبق على فئات معينة من أجهزة الراديو للأطفال، أجهزة الراديو للألعاب، وأجهزة الراديو القابلة للارتداء التي تعالج هذه الأنواع من البيانات، حتى عندما لا تكون متصلة بالإنترنت. المتطلب هو أن تدمج المعدات تدابير احترازية لضمان حماية البيانات الشخصية وخصوصية المستخدم والمتعامل.

بالنسبة للمنتجين، هذا يعني عادة التحقق:

• ما إذا كان المنتج يعالج البيانات الشخصية أو حركة المرور أو الموقع

• حيث يتم جمع هذه البيانات أو تخزينها أو إرسالها أو الكشف عنها

• أي أجزاء من النظام تتعامل مع خدمات البيانات أو الجهاز أو التطبيق أو الخلفية أو الطرف الثالث

• ماهية الضمانات القائمة حول الوصول والتخزين والنقل، وخصوصية المستخدم

وهذا واحد من أوضح الأمثلة على سبب امتداد النطاق في كثير من الأحيان إلى خارج نطاق الجهاز نفسه. قد يبدو المنتج بسيطا على مستوى الأجهزة، ولكن مخاطر الخصوصية وحماية البيانات ذات الصلة قد تجلس في التطبيق، أو منصة السحابة، أو طبقة الحساب.

المادة 3 (3) (و)، الحماية من الاحتيال

المادة 3(3)(و) تنطبق على أجهزة الراديو التي يمكنها التواصل عبر الإنترنت وتمكّن الحامل أو المستخدم من نقل المال أو قيمة نقدية أو عملة افتراضية. المتطلب هو أن تدعم المعدات ميزات معينة لضمان الحماية من الاحتيال. بالنسبة للمصنعين، فإن هذا يثير عادةً أسئلة مثل:

• يقوم المنتج بتمكين الدفع، القيمة المخزنة، أو نشاط العملة الافتراضية

• حيثما تعالج المهام المتصلة بالغش

• ما هي الضوابط التي تحمي تلك الوظائف من إساءة الاستعمال أو الإجراءات غير المأذون بها

• ما هي الأدلة التي تبين أن هذه الحماية قد صُممت ونُفذت على النحو المناسب

ويمكن أن يكون ذلك ذا صلة بما يتجاوز وسائل الدفع التقليدية، فأي معدات لاسلكية متصلة تمكن من هذه الأنواع من وظائف تحويل القيمة قد تحتاج إلى استعراض أدق.

لماذا هذه الأمور من الناحية العملية

الأثر العملي للمادة 3.3 هو أن المصنعين بحاجة إلى الانتقال من تصنيف تنظيمي واسع إلى تقييم محدد للمنتج.

والسؤال الحقيقي هو:

• أي من هذه الأحكام تنطبق على هذا المنتج

• أي أجزاء النظام تقع ضمن النطاق

• ما هي الضوابط أو قرارات التصميم التي تعالج المتطلبات ذات الصلة

• ما هي الوثائق والأدلة التي تدعم ذلك الموقف

وتشير صحيفة الوقائع لحكومة المملكة المتحدة أيضاً إلى أن المصنعين الذين يضعون المعدات اللاسلكية في نطاق اللائحة التنظيمية (الاتحاد الأوروبي) 2022/30 في السوق يحتاجون إلى ضمان تصميم المنتج وتصنيعه وفقاً للمتطلبات الأساسية الإضافية. • تحديث الوثائق التقنية وتحديث إعلان الاتحاد الأوروبي بشأن التوافق.

لهذا السبب تؤثر المادة 3.3 على أكثر من مجرد صياغة الامتثال. إنها تغير النطاق والوثائق واستعداد الإطلاق للمنتجات المتصلة.

ما هي المنتجات التي يجب أن توجه اهتمام الإغلاق

عادة ما تكون هناك حاجة إلى استعراض أدق عندما يكون المنتج:

• الاتصال عبر الإنترنت، مباشرة أو عن طريق معدات أخرى

• معالجة البيانات الشخصية أو بيانات حركة المرور أو الموقع

• يتضمن التطبيق المصاحب أو خدمة الخلفية

• يدعم الوصول عن بعد أو التحكم عن بعد أو التحديثات

• تمكين الدفع، القيمة المخزنة، أو تحويل العملة الافتراضية

وتصف كل من اللجنة وحكومة المملكة المتحدة نطاق المعدات اللاسلكية الموصولة بشبكة الإنترنت. وفيما يتعلق بالمادة 3 (3) (هـ)، بعض خدمات رعاية الأطفال واللعب والمنتجات القابلة للارتداء التي تعالج البيانات ذات الصلة.

ماذا يعني هذا الاستكشاف والتوثيق

المادة 3-3 هي الحالة التي تدرك فيها أفرقة كثيرة أن الجهاز وحده ليس هو حدود الامتثال الكامل. غالباً ما يحتاج الاستعراض إلى تغطية الجهاز، والتطبيق، والخلفية، ومعالجة الحسابات، وتدفقات البيانات، وآليات التحديث، والعمليات الأمنية الداعمة. وعادة ما يحتاج المصنعون إلى ما يلي:

• تعريف واضح للنطاق

• تحديد الشروط ذات الصلة المنصوص عليها في المادة 3-3

• حدود النظام الموثقة

• تعيين المتطلبات

• الوثائق التقنية المستكملة

• إعلان الاتحاد الأوروبي المحدَّث بشأن التوافق

• دليل داعم مرتبط بالمنتج وضوابطه

للحصول على نظرة أعمق لهيكل التوثيق، انظر EN 18031 وقائمة التحقق من المتطلبات والأدلة.

كيفية ربط EN 18031 بالمادة 3-3

وتوفر معايير EN 18031 <strong>شركات تصنيع الطرق التقنية المعترف بها يمكن استخدامها لدعم الامتثال لمتطلبات الأمن الحاسوبي في مجال خفض الانبعاثات الناتجة عن إزالة الأحراج. ألفformat@@1 صحيفة وقائع حكومة المملكة المتحدة تنص على أن:<strong> </strong><a href="https://blog.qima.com/due-cybersecurity/en-18031-1" title="">EN 18031-1</a>، <a href="https://blog.qima.com/due-cybersecurity/en-18031-2" title="">EN 18031-2</a><u>،</u> و<a href="https://blog.qima.com/due-cybersecurity/en-18031-3" title=""> EN 18031-3</a> معترف بها رسميا <strong>معيارين منسقين </strong>بالنسبة للمعدات اللاسلكية في نطاق اللائحة (EU) 2022/30، في حين أن استخدام هذه المعايير يظل طوعياً

وهذا يعني أن سير العمل العملي غالبا ما يبدو هكذا:

1. تحديد ما إذا كانت المادة 3-3 تنطبق

2. تحديد أي جزء من EN 18031 ذو صلة

3. تحديد النطاق عبر النظام الإيكولوجي للمنتج

4. متطلبات الخريطة وإعداد الأدلة

Cyberexpert يساعد الفرق على العمل من خلال هذا - من تقييم ما إذا كانت المادة 3. وينطبق ذلك على تحديد نطاق الوثائق وهيكلها. إذا كنت في تلك المرحلة، صفحة متطلبات الأمن الالكتروني لـ RED تشرح كيف تبدو الخطوات التالية عادة.

إذا كنت تعمل من خلال المادة 3. وسائل لمنتجك المحدد، RED Security cyberrequirements page تمشي من خلال الخطوات التالية، بما في ذلك كيفية تواؤم EN 18031 مع ما يحتاج إليه مصنعو الوثائق عادة.