Euroopan unionin kyberkestävyyssäädös (CRA) ja ohjelmistojen toimitusketjujen kyberturvallisuus
Lahtinen, Joonas (2025)
2025
Tietotekniikan DI-ohjelma - Master's Programme in Information Technology
Informaatioteknologian ja viestinnän tiedekunta - Faculty of Information Technology and Communication Sciences
This publication is copyrighted. You may download, display and print it for Your own personal use. Commercial use is prohibited.
Hyväksymispäivämäärä
2025-07-24
Julkaisun pysyvä osoite on
https://urn.fi/URN:NBN:fi:tuni-202507247750
https://urn.fi/URN:NBN:fi:tuni-202507247750
Tiivistelmä
Tämän diplomityön ensisijaisena tarkoituksena oli selvittää, millaisia hyökkäysvektoreita on olemassa ohjelmiston toimitusketjuja vastaan. Muut tavoitteet olivat tutkia, kuinka CRA eli Euroopan unionin kyberkestävyyssäädös tulee vaikuttamaan digitaalisten tuotteiden markkinoihin, ja kuinka SBOM eli ohjelmistotuoterakenne voi tukea ohjelmiston toimitusketjun kyberturvallisuutta. Diplomityö tehtiin kirjallisuuskatsauksena, ja tiedonhakumenetelmänä käytettiin helmenkasvatusmenetelmää. Pääsääntöisesti lähteitä etsittiin Tampereen yliopiston Andor-palvelusta ja Google Scholar -palvelusta.
Ohjelmiston toimitusketju kattaa muun muassa sen riippuvaisuudet, kuten erilaiset komponentit. Merkittäviä ohjelmiston toimitusketjuun kohdistuvia hyökkäysvektoreita voidaan nähdä olevan muun muassa seuraavat kolme: riippuvaisuudet, koonti-infrastruktuuri ja ihmiset.
Vuonna 2024 voimaan tullut CRA asettaa kyberturvallisuuteen liittyviä vaatimuksia sellaisille digitaalisille tuotteille ja palveluille, jotka ovat suoraan tai epäsuoraan liitettävissä verkkoon tai toisiin laitteisiin. Vaatimukset kohdistuvat tuotteiden tai palveluiden valmistajiin, jakelijoihin ja maahantuojiin. Valmistajilta edellytetään muun muassa riskien arviointia, jatkuvaa monitorointia, raportointia ja läpinäkyvyyttä. Tietyiltä tuotteilta vaaditaan kolmannen osapuolen suorittama vaatimustenmukaisuustarkastus.
Vuonna 2014 käsitteenä yleistynyt SBOM eli ohjelmistotuoterakenne tarkoittaa listausta ohjelmiston yksityiskohdista ja toimitusketjuriippuvaisuuksista. SBOMin mukanaan tuoma läpinäkyvyys auttaa havaitsemaan ja hallitsemaan haavoittuvuuksia. Lisäksi SBOM auttaa yrityksen jatkuvuudenhallintaa ja riskinhallintaa. Valitettavasti SBOMia hyödynnetään nykyhetkellä varsin vähän.
Ohjelmiston toimitusketju kattaa muun muassa sen riippuvaisuudet, kuten erilaiset komponentit. Merkittäviä ohjelmiston toimitusketjuun kohdistuvia hyökkäysvektoreita voidaan nähdä olevan muun muassa seuraavat kolme: riippuvaisuudet, koonti-infrastruktuuri ja ihmiset.
Vuonna 2024 voimaan tullut CRA asettaa kyberturvallisuuteen liittyviä vaatimuksia sellaisille digitaalisille tuotteille ja palveluille, jotka ovat suoraan tai epäsuoraan liitettävissä verkkoon tai toisiin laitteisiin. Vaatimukset kohdistuvat tuotteiden tai palveluiden valmistajiin, jakelijoihin ja maahantuojiin. Valmistajilta edellytetään muun muassa riskien arviointia, jatkuvaa monitorointia, raportointia ja läpinäkyvyyttä. Tietyiltä tuotteilta vaaditaan kolmannen osapuolen suorittama vaatimustenmukaisuustarkastus.
Vuonna 2014 käsitteenä yleistynyt SBOM eli ohjelmistotuoterakenne tarkoittaa listausta ohjelmiston yksityiskohdista ja toimitusketjuriippuvaisuuksista. SBOMin mukanaan tuoma läpinäkyvyys auttaa havaitsemaan ja hallitsemaan haavoittuvuuksia. Lisäksi SBOM auttaa yrityksen jatkuvuudenhallintaa ja riskinhallintaa. Valitettavasti SBOMia hyödynnetään nykyhetkellä varsin vähän.