設備制造商與機器制造商如何轉向符合 CRA 認證的連接解決方案

《網絡彈性法案》( CRA) 規定，對于開發和維護工業設備及機器中通訊連接部分的制造商，需承擔長期的安全與維護責任。在我們前兩篇文章中（《CRA 正在重新定義工業連接》和《網絡彈性法案》：一場痛苦但必要的行業重塑），我們探討了這些責任的具體內容，以及為什么盡管 CRA 引入了新的預期、流程和生命周期義務，它仍然必不可少。

本系列的第三篇文章，我們將從“為什么要實現CRA”轉向“如何實現CRA”。

本文將解釋：為什么老舊連接技術難以達到 CRA 合規要求？以及如果設備制造商和機器制造商將舊方案更換為現代化的、符合CRA標準的連接方案，合規之路將如何變得事半功倍？

1. 為什么老舊連接技術難以實現 CRA 合規？

 首先我們要問一個關鍵問題：究竟是什么原因讓舊有的連接方案難以對齊 CRA 的要求？

老舊方案、內部自研方案或定制化連接方案在設計之初從未考慮過 CRA。大多數方案構建時，重點在于功能性，而非網絡安全、文檔記錄或生命周期義務。CRA 暴露了這些方案中難以（甚至有時無法）通過追溯補救的缺口。

圖1. 老舊連接技術在設計上并未考慮 CRA 所要求的長期安全、文檔記錄和生命周期義務。

以下是 HMS多年來遇到的常見問題：

文檔缺失或不完整

舊的連接協議棧通常缺乏：

設計文檔

測試報告

版本歷史

軟件物料清單 (SBOM)

補丁記錄

安全決策的證明

而 CRA 要求提供所有這些內容。

維護主體不明確

隨著時間的推移，職責往往會發生偏移。如果沒有明確的責任人：

無人為長期的 CRA 義務負責

更新和漏洞處理變得斷斷續續

生命周期證據零散或缺失

資源或專業知識有限

CRA 要求結構化的安全工程和持續的文檔化工作。許多團隊缺乏：

專業安全知識

用于持續維護的帶寬

將“原生安全設計”流程追溯應用到舊協議棧中的資源

來源或維護不明的依賴項

老舊連接方案通常包含：

來源不明的開源組件

不再維護的協議庫

從前任團隊繼承的代碼

CRA 要求完整的可追溯性，這在處理舊依賴項時很難實現。

待更新的存量產品規模巨大

當 CRA 必須應用于整個產品組合時，上述挑戰會被成倍放大。

在工業自動化領域，產品生命周期很長，設備和機器通常在產線運行 15-20 年甚至更久。因此，CRA 合規很少僅限于單一的新設計。

設備和機器制造商往往面臨：

更新多個在售產品代際

維護客戶仍有需求的舊型號

使老舊產品對齊現代 CRA 要求

與此同時，更新包含核心產品軟件功能的“主機應用程序”本身就是一項重大任務。如果在此基礎上還要承擔老舊通訊連接部分的全面 CRA 符合性工作，內部資源很快就會捉肘見襟。

連接往往是CRA落地中最難的部分

雖然 CRA 適用于完整的設備或機器，但在實踐中，連接部分通常是實現合規過程中最復雜、最耗費資源的部分。

它涉及：

協議棧

安全更新機制

漏洞處理流程

生命周期文檔

依賴項跟蹤

由于大量的 CRA 要求都集中在這一領域，外包連接部分的 CRA 符合性工作可以顯著減輕整體合規壓力。

架構并非為現代安全設計

舊的協議棧可能缺乏：

安全啟動

固件簽名

更新驗證

回滾保護

版本可追溯性

在生命周期后期補齊這些功能不僅成本高昂，有時在技術上也行不通。

簡而言之：老舊連接方案成了瓶頸，因為它當初的設計目標根本無法滿足 CRA 現在的預期。

2. 現代化的兼容CRA連接方案能簡化哪些工作？

傳統連接使CRA合規變得困難，但現代化、符合CRA標準的連接解決方案可以簡化大部分工作。

圖2.  替換老舊連接方案，可將大部分與 CRA 相關的安全及維護工作量從制造商身上轉移。

在深入細節前，值得思考的是：

替換方案如何讓合規變簡單？

用現代化、符合CRA標準的通訊模塊或網關取代自研或過時的連接，制造商可以將大部分運營和安全工作量向外轉移。

有了現成解決方案，CRA的核心職責由專門為長期安全和合規打造的產品和流程的供應商承擔。 

突然之間，以下工作對制造商來說變得容易得多：

更快、更安全的安全性更新

現代連接方案包含定義明確的更新機制、文檔化流程和標準化的發布周期。補丁交付更迅速、更安全且質量可控。

減少內部安全流程工作

制造商無需在內部建立和維護安全開發流程，而是依靠已經運行合規流程并提供必要證明的連接供應商。

職責邊界清晰

有了CRA兼容的連接解決方案，責任劃分明確：

供應商負責通訊協議棧的安全

制造商負責產品集成和系統級決策

這消除了歧義，減少了內部協調成本。

一種面向未來的方法

現代方案旨在滿足不斷發展的標準。隨著 CRA 指南、協調標準和市場預期的演變，制造商將受益于供應商的持續支持，而無需獨自應對變化。

3.通過替換老舊連接方案，制造商可規避的高強度任務

轉向CRA兼容的連接方案可以消除大量的技術和組織工作。以下是制造商可以避開的最耗資源的任務：

維護協議安全性更新

老舊協議棧需要持續更新以實現：

工業協議

加密庫

安全原語

通信接口

兼容CRA方案的將這一維護重擔全部轉嫁給了供應商。

漏洞監測

制造商不再需要親自追蹤：

通用漏洞披露 (CVE)

開源項目安全通告

供應商安全告示

協議層漏洞

連接供應商會處理所有的漏洞監測與通報。

構建并驗證安全更新機制

安全啟動、固件簽名、更新驗證、回滾保護和審計追蹤都變成了供應商的職責。

每次變動后的重新認證

自研協議棧的任何重大更新都可能觸發重新測試或認證。而成熟方案在中心側管理這些開銷，減少了重復勞動。

管理供應商證據

制造商不再需要從數十家芯片、操作系統或庫供應商那里收集 CRA 聲明。通訊組件本身就提供了所需的全部 CRA 文檔。

從實際角度看：

替換老舊連接意味著制造商不再需要親自維護通訊安全。相反，他們采用了一種解決方案，能夠實現：

安全更新

生命周期文檔

漏洞監控

 這讓團隊能夠專注于產品功能集成，而非通訊維護。

4.制造商仍然擁有（且始終擁有）的責任

減少CRA的工作量并不意味著轉嫁全部責任。2  

即使是最好的連接方案也無法消除所有的 CRA 義務。設備制造商對整機產品的 CRA 合規性負有最終責任。

圖3.  有效的 CRA 合規依賴于明確定義的責任劃分。

改變的是工作量的分配。使連接部分達到 CRA 合規要求所需的大部分工作可以由供應商完成，而制造商保留對整體產品的責任。 

制造商仍需負責以下內容：

產品級集成

必須正確集成連接組件，包括：

配置

電氣設計

固件交互

系統行為

這始終是制造商的工作。

系統級風險評估

CRA 要求制造商了解完整產品在預期環境中的行為，包括：

網絡行為

用戶場景

安全交互

客戶溝通

制造商必須提供：

安全文檔

更新溝通

生命周期政策

用戶責任說明

在 CRA 框架下，整個生命周期的透明度是強制性的。

總之， 現成的連接解決方案顯著降低了CRA的技術復雜性，但它不能取代制造商在安全產品交付中的角色。

結論：實現CRA合規的切實可行路徑

這為準備應對 CRA 的制造商提出了最后一個問題：

一條現實且可持續的合規路徑是什么樣的？

老舊連接方案之所以讓合規變得困難，是因為它在設計基因里就沒有“長期安全、文檔化和生命周期責任”。

將其替換為現代化的、兼容CRA的方案可以卸下許多繁重的義務3，包括：

協議維護

漏洞監測

安全更新機制

重復認證

依賴項文檔管理

雖然制造商仍需掌控系統級安全和產品集成，但使用CRA兼容的連接解決方案提供了更可靠、更高效且更可持續的合規路徑。

在下一篇文章中，我們將探討為什么 CRA 義務正迫使組織重新思考連接部分的架構、歸屬和維護，以及為什么這將演變成一個戰略決策。

CRA資源與連接解決方案

無論您是在更新現有設備還是設計新產品，正確的連接策略都是應對 CRA 的關鍵。了解更多關于《網絡彈性法案》的信息，探索 Anybus 網關及嵌入式解決方案，助您構建安全、可維護且面向未來的設備。