'/%3E%3C/svg%3E){kind=small}
Audyt bezpieczeństwa IoT ETSI EN 303 645 V2.1.1
Audyt bezpieczeństwa IoT według ETSI EN 303 645 od 9 999 zł netto: ocena 68 wymagań normy oraz testy penetracyjne urządzenia, firmware'u, aplikacji mobilnej i chmury. Raport z matrycą zgodności i planem działań pod wymagania CRA, retest do 30 dni w cenie.
- Certyfikowani pentesterzy (OSCP, OSWE, OSEP)
- Retest do 30 dni w cenie
- Wgląd w postęp testów w platformie vulnerability management
- Hasła domyślneLuka
- AktualizacjeLuka
- SekretyUwaga
- KomunikacjaUwaga
- Powierzchnia atakuOK
- IntegralnośćOK
- Dane osoboweOK
- OdpornośćOK
- TelemetriaUwaga
- Kasowanie danychOK
- InstalacjaOK
- Walidacja wejściaOK
- 68wymagań ETSI
- 13znalezisk
- 1krytyczne
Audyt bezpieczeństwa IoT ETSI EN 303 645 od 9 999 zł netto to ocena urządzenia, jego firmware'u, aplikacji mobilnej i chmury względem 68 wymagań normy oraz testy penetracyjne urządzenia w naszym laboratorium. Wynikiem jest matryca zgodności, raport z podatnościami i planem działań oraz świadectwo zgodności dla spełnionych wymogów, gotowe pod wymagania Cyber Resilience Act. Wycena po rozmowie o zakresie, zależnie od liczby komponentów i typu testów.
Zapewnij bezpieczeństwo swoich urządzeń IoT dzięki kompleksowemu audytowi zgodności z normą ETSI EN 303 645. Nasza usługa audytu IoT pomoże Ci spełnić wymagania normy IoT ETSI, pierwszego globalnego standardu cyberbezpieczeństwa urządzeń IoT. Dzięki temu wzmocnisz bezpieczeństwo urządzeń IoT, zminimalizujesz ryzyko cyberzagrożeń oraz przygotujesz się na regulacje takie jak certyfikacja CRA w UE. Poniżej przedstawiamy pełny opis usługi: od wyjaśnienia normy, przez przebieg audytu krok po kroku, po korzyści dla Twojej firmy. Szerszy kontekst branżowy znajdziesz na stronie cyberbezpieczeństwo IoT – branża.
Czym jest norma ETSI EN 303 645 V2.1.1 i skąd pochodzi?
ETSI EN 303 645 to europejska norma określająca podstawowe wymagania cyberbezpieczeństwa dla urządzeń Internetu Rzeczy (IoT) przeznaczonych dla konsumentów. Została opublikowana w czerwcu 2020 roku przez ETSI (Europejski Instytut Standardów Telekomunikacyjnych) i jest uznawana za pierwszy globalny standard bezpieczeństwa IoT.
Skąd pochodzi norma
Norma powstała we współpracy ekspertów z przemysłu, środowisk naukowych i rządowych, dzięki czemu stanowi zbiór najlepszych praktyk branżowych. Jej celem jest ustanowienie bazowego poziomu ochrony dla inteligentnych urządzeń codziennego użytku, aby zapobiec najczęstszym atakom cybernetycznym i zagrożeniom (źródło: etsi.org).
ETSI EN 303 645 V2.1.1 definiuje 13 kluczowych obszarów bezpieczeństwa IoT oraz odpowiadające im 68 szczegółowych wymagań: 33 obowiązkowe i 35 zalecanych (źródło: intertek.com) dla urządzeń podłączonych do sieci.
13 obszarów normy: wymagania 1–7
- Brak uniwersalnych haseł domyślnych: urządzenie nie może posiadać fabrycznie ustawionego, powszechnie znanego hasła do logowania.
- Mechanizm zgłaszania podatności: producent powinien zapewnić procedurę przyjmowania i obsługi zgłoszeń o lukach bezpieczeństwa od użytkowników i badaczy.
- Regularne aktualizacje oprogramowania: urządzenie musi umożliwiać bezpieczne aktualizacje firmware i otrzymywać poprawki zabezpieczeń w całym deklarowanym okresie wsparcia.
- Bezpieczne przechowywanie wrażliwych danych: wszelkie poufne informacje (hasła, klucze kryptograficzne) powinny być przechowywane w sposób zabezpieczony przed nieuprawnionym dostępem.
- Bezpieczna komunikacja: dane przesyłane między urządzeniem a usługami (np. chmurą, aplikacją mobilną) powinny być szyfrowane i chronione przed podsłuchem.
- Minimalizacja powierzchni ataku: interfejsy i funkcje urządzenia powinny być ograniczone do niezbędnych, aby zmniejszyć liczbę potencjalnych punktów ataku.
- Zapewnienie integralności oprogramowania: urządzenie powinno weryfikować integralność firmware (np. podpisy cyfrowe), aby uniemożliwić wgranie nieautoryzowanego oprogramowania.
Wymagania 8–13 i ochrona danych
- Ochrona danych osobowych: należy chronić prywatność użytkownika, m.in. poprzez szyfrowanie lub anonimizację przechowywanych danych oraz stosowanie zasad zgodnych z RODO.
- Odporność na awarie: projekt urządzenia powinien przewidywać bezpieczne działanie nawet w razie przerw w łączności czy zasilaniu (np. przywrócenie działania bez utraty bezpieczeństwa).
- Monitorowanie telemetryczne: zaleca się, by producenci analizowali dane telemetryczne z urządzeń w celu wykrywania anomalii mogących świadczyć o ataku.
- Ułatwienie usuwania danych użytkownika: użytkownik powinien mieć łatwą możliwość trwałego usunięcia swoich danych osobowych z urządzenia.
- Łatwa instalacja i konserwacja: proces konfiguracji urządzenia (np. zmiana haseł, aktualizacje) powinien być prosty, aby użytkownicy nie pomijali ważnych kroków bezpieczeństwa.
- Walidacja danych wejściowych: urządzenie musi sprawdzać poprawność i format otrzymywanych danych, co zapobiega atakom wykorzystującym nieprawidłowe dane wejściowe (np. injection).
Norma zawiera ponadto odrębne wytyczne dotyczące ochrony danych: producent powinien zaimplementować funkcje wspierające prywatność użytkowników (np. domyślne wyłączenie zbędnego śledzenia, zgodność z RODO). Wszystkie te wymagania razem tworzą fundament bezpieczeństwa IoT i są punktem odniesienia dla wielu regulacji na świecie (źródło: tuvsud.com).
Kto podlega normie ETSI EN 303 645: producenci elektroniki, smart home, urządzeń medycznych i przemysłowych
Norma ETSI 303 645 ma zastosowanie do wszystkich konsumenckich urządzeń IoT, czyli takich, z których korzystają osoby prywatne w domu lub w życiu codziennym. Jeśli produkujesz lub wdrażasz urządzenie z kategorii IoT dla konsumentów, norma prawdopodobnie dotyczy Ciebie. Oto przykładowe branże i produkty objęte zakresem normy.
Smart home (inteligentny dom)
Inteligentne głośniki, oświetlenie smart, termostaty Wi-Fi, klimatyzatory zdalnie sterowane, systemy alarmowe, zamki do drzwi sterowane aplikacją, kamery IP do monitoringu domowego, asystenci głosowi.
Elektronika użytkowa
Telewizory Smart TV, smartfony, urządzenia ubieralne (smartwatche, trackery fitness), odtwarzacze multimedialne, konsole do gier z funkcjami online, drukarki sieciowe.
AGD i urządzenia konsumenckie
Lodówki podłączone do Internetu, pralki i roboty sprzątające sterowane aplikacją, inteligentne wagi łazienkowe, urządzenia typu smart (np. czajniki, piekarniki z Wi-Fi). Jak realne są te ryzyka, pokazujemy na przykładzie zagrożeń związanych z odkurzaczami automatycznymi.
MedTech (Internet Rzeczy w medycynie)
Domowe urządzenia medyczne i wellness z funkcją łączności, np. monitory stanu zdrowia pacjenta przesyłające dane do lekarza, pompy insulinowe sterowane aplikacją, opaski medyczne, urządzenia IoMT (Internet of Medical Things).
Automotive (motoryzacja)
Samochody połączone z Internetem i systemy pokładowe (infotainment, telematyka), komunikujące się urządzenia w pojazdach elektrycznych (np. ładowarki smart, nawigacje z dostępem online). Choć branża automotive ma własne regulacje, elementy IoT w autach również korzystają z wytycznych ETSI.
Przemysł konsumencki
Wszelkie inne inteligentne gadżety konsumenckie w sektorze B2C: zabawki i urządzenia dla dzieci (smart zabawki, elektroniczne nianie), sprzęt sportowy IoT, drony rekreacyjne, inteligentne urządzenia noszone (AR/VR) itp. (źródła: etsi.org, cclab.com).
Jakie problemy rozwiązuje norma ETSI 303 645?
Norma powstała, by rozwiązać problemy bezpieczeństwa w dynamicznie rozwijającym się świecie IoT. Liczba urządzeń IoT rośnie wykładniczo: szacuje się, że globalnie wzrośnie z ok. 16 mld w 2023 roku do ponad 32 mld w 2030 (źródło: statista.com). Niestety, wiele z tych urządzeń ma poważne luki bezpieczeństwa. Oto kluczowe problemy, na które odpowiada norma.
Cyberzagrożenia i ataki
Słabo zabezpieczone gadżety IoT stają się łatwym celem dla hakerów. Urządzenia takie mogą zostać zainfekowane i włączone do botnetów (np. do ataków DDoS), wykorzystane do kopania kryptowalut czy nawet przejęte w celu szpiegowania użytkowników. Norma wprowadza środki zapobiegawcze (unikalne hasła, szyfrowanie komunikacji, kontrola dostępu), które chronią przed tymi zagrożeniami.
Ryzyka regulacyjne i prawne
Brak zgodności z uznanymi standardami może oznaczać niezgodność z prawem. Regulacje takie jak unijny CRA przewidują dotkliwe kary finansowe za niewłaściwe zabezpieczenie produktów: nawet do 15 mln euro lub 2,5% globalnego obrotu firmy. Audyt zgodny z ETSI pozwala zidentyfikować braki i uniknąć późniejszych sankcji, wycofania produktu z rynku czy utraty certyfikacji.
Ochrona prywatności
Urządzenia IoT często gromadzą dane o użytkownikach (obraz z kamer, informacje o zdrowiu, zwyczaje domowe). Wycieki takich danych lub ich wykorzystanie bez kontroli naruszają prywatność. Norma ETSI uwzględnia wymogi ochrony danych osobowych: od bezpiecznego przechowywania, przez anonimizację, po umożliwienie łatwego usunięcia danych na żądanie użytkownika. Dzięki temu zmniejsza się ryzyko naruszenia prywatności i naruszeń RODO.
Reputacja i zaufanie klientów
Incydent bezpieczeństwa (np. masowe włamanie do kamer domowych) potrafi zrujnować reputację marki. Stosując się do normy, producent demonstruje zaangażowanie w cyberbezpieczeństwo IoT, co zwiększa zaufanie konsumentów oraz przewagę konkurencyjną. Klienci świadomi zagrożeń coraz częściej szukają na opakowaniach informacji o certyfikatach lub zgodności z uznanymi normami.
Bezpieczeństwo użytkowników i ciągłość działania
W niektórych przypadkach atak na urządzenie IoT może zagrozić fizycznemu bezpieczeństwu ludzi (np. zhakowany alarm czy zamek do drzwi) lub spowodować przestój ważnych usług (np. awaria systemu inteligentnego budynku). Norma ETSI adresuje te kwestie poprzez wymóg odporności na awarie i zapewnienie integralności systemu: nawet pod atakiem urządzenie ma pozostać bezpieczne dla użytkownika i otoczenia. Skalę takich zdarzeń opisujemy w artykule cyberatak na duńskie wodociągi – ryzyko urządzeń OT/IoT.
Security by design
Podsumowując, ETSI EN 303 645 rozwiązuje konkretne, realne problemy: wymusza usunięcie najczęstszych luk (jak domyślne hasła), ustanawia procesy reagowania na nowe zagrożenia (zgłaszanie podatności, aktualizacje), a także wprowadza kulturę security by design, czyli projektowania urządzeń z myślą o bezpieczeństwie od samego początku, a nie dodawania go po fakcie (źródło: etsi.org).
Korzyści z przeprowadzenia audytu bezpieczeństwa IoT (zgodności z ETSI 303 645)
Inwestycja w audyt bezpieczeństwa IoT według normy ETSI EN 303 645 przekłada się na wymierne korzyści biznesowe, technologiczne i wizerunkowe. Krótko mówiąc, to inwestycja, która się zwraca: zapewnia bezpieczeństwo technologiczne i spokój ducha, a jednocześnie zwiększa wartość biznesową Twojego produktu na konkurencyjnym rynku cyberbezpieczeństwa IoT.
Spełnienie wymagań i zgodność z normami
Audyt wskaże, na ile Twój produkt spełnia konkretne wymagania normy ETSI. Dzięki temu uzyskasz pewność zgodności z uznanym standardem branżowym, co ułatwia późniejsze procedury oceny zgodności (np. oznakowanie CE pod kątem cyberbezpieczeństwa). ETSI 303 645 stanowi fundament dla certyfikacji IoT: m.in. podstawowego poziomu zabezpieczeń wg unijnego Cybersecurity Act czy zharmonizowanych norm do dyrektyw UE (źródło: intertek.com). Audyt przygotuje Cię do tych wymogów już teraz.
Przygotowanie do certyfikacji CRA i innych regulacji
Cyber Resilience Act (CRA) w UE narzuca obowiązkowe oceny cyberbezpieczeństwa dla szerokiej gamy urządzeń cyfrowych. Wczesne przeprowadzenie audytu zgodnego z ETSI pozwoli zaimplementować wymagane środki, zanim obowiązki zaczną być egzekwowane. To zmniejsza ryzyko opóźnień rynkowych: produkty wprowadzane po dacie stosowania CRA będą musiały od razu być zgodne z nowymi wymogami. Dzięki audytowi unikniesz kosztownych poprawek „na ostatnią chwilę” i zyskasz przewagę first-movera pod kątem zgodności.
Większe bezpieczeństwo produktu
Najważniejszą korzyścią jest realne zwiększenie poziomu bezpieczeństwa urządzenia IoT. Audyt wykryje słabe punkty (zarówno w oprogramowaniu urządzenia, jak i w aplikacji mobilnej czy chmurowej części systemu), zanim zrobią to przestępcy. Wdrożenie rekomendacji audytorów obniży ryzyko udanego ataku, wycieku danych czy przejęcia kontroli nad urządzeniem przez osoby nieuprawnione. To przekłada się na mniejszą liczbę incydentów, reklamacji oraz na uniknięcie kosztów reagowania na ewentualne kryzysy bezpieczeństwa.
Zaufanie klientów i przewaga konkurencyjna
W dobie rosnącej świadomości zagrożeń cyfrowych konsumenci cenią produkty, które dają gwarancję bezpieczeństwa. Certyfikat lub raport potwierdzający zgodność z uznaną normą (jak ETSI 303 645) staje się atutem marketingowym. Możesz komunikować, że Twoje urządzenie przeszło niezależny audyt IoT i spełnia rygorystyczne standardy bezpieczeństwa, co buduje zaufanie i lojalność klientów. Dla partnerów biznesowych czy dystrybutorów to sygnał, że produkt jest godny zaufania i profesjonalnie zaprojektowany pod kątem cyberbezpieczeństwa.
Ograniczenie odpowiedzialności i pewność legalna
W razie ewentualnych incydentów wykazanie, że podjęto maksymalne starania (audyty, certyfikacje) w celu zabezpieczenia produktu, może ograniczyć odpowiedzialność prawną firmy. Dodatkowo zgodność z normą pomaga spełnić wymogi ubezpieczycieli (coraz więcej polis cyber wymaga wdrożenia dobrych praktyk) oraz oczekiwania inwestorów czy klientów instytucjonalnych co do bezpieczeństwa dostarczanych urządzeń.
Doświadczenie edukacyjne dla zespołu
Audyt to nie tylko sprawdzenie produktu, ale i cenne wskazówki dla Twojego zespołu R&D. Współpracując z audytorami, inżynierowie poznają najnowsze zagrożenia i techniki ochrony IoT. Rekomendacje posłużą jako mapa drogowa ulepszeń: nie tylko dla bieżącego projektu, ale i przyszłych produktów IoT w Twoim portfolio.
Metodyka: wymagania ETSI EN 303 645 i testy penetracyjne urządzenia, firmware'u, aplikacji i chmury
Łączymy ocenę zgodności z normą (audit checklist) z praktycznymi testami penetracyjnymi. Audyt zgodności ETSI 303 645 obejmuje nie tylko testy techniczne, ale też ocenę formalną (np. polityka aktualizacji, wsparcie): to szersze podejście niż klasyczny pentest, które daje pełen obraz bezpieczeństwa produktu.
Testy penetracyjne IoT (ocena praktyczna)
Nasi audytorzy przeprowadzają testy penetracyjne IoT: symulowane ataki na urządzenie i jego otoczenie, aby sprawdzić odporność na zagrożenia. W ramach testów:
- sprawdzamy fizyczne zabezpieczenia sprzętowe (porty debug, dostęp do pamięci, możliwość zdumpowania firmware),
- analizujemy firmware pod kątem luk (niezabezpieczone interfejsy, brak szyfrowania danych, stałe hasła zakodowane w oprogramowaniu),
- badamy interfejsy sieciowe i komunikację urządzenia z chmurą i aplikacją, w tym odporność na ataki sieciowe, podsłuchiwanie (sniffing), manipulację danymi (MITM) czy nieautoryzowany dostęp,
- weryfikujemy implementację poszczególnych wymogów normy ETSI: czy urządzenie wymusza zmianę domyślnego hasła przy pierwszym użyciu, czy aktualizacje są podpisane cyfrowo, czy istnieje mechanizm zgłaszania błędów bezpieczeństwa,
- przeprowadzamy analizę konfiguracji i kodu (tam, gdzie to możliwe) w poszukiwaniu typowych błędów bezpieczeństwa aplikacji (OWASP IoT Top 10, błędy kryptograficzne, brak walidacji itp.).
Ocena zgodności z normą: matryca 68 wymagań
Równolegle z testami technicznymi wykonujemy audit checklist oparty na 13 obszarach normy ETSI 303 645. Dla każdego wymagania sprawdzamy, czy zostało spełnione, częściowo spełnione, czy też występuje niezgodność. Tworzymy szczegółową matrycę zgodności, w której w czytelny sposób zaznaczamy status każdego z 68 wymogów normy (oraz ewentualne uwagi). Ocena obejmuje zarówno aspekt techniczny (funkcjonalność urządzenia), jak i organizacyjny (czy producent posiada wymagane procesy, np. program bug bounty lub politykę aktualizacji).
Czy testy mogą uszkodzić urządzenie lub dane?
Wszystkie testy odbywają się w kontrolowanym środowisku laboratoryjnym z zachowaniem ostrożności, by nie uszkodzić Twojego urządzenia, i na kopiach środowisk testowych. Nie wpływają one na realnych użytkowników ani dane produkcyjne. W razie potrzeby używamy specjalistycznych narzędzi (analizatory protokołów, sprzęt do debugowania) oraz własnych skryptów do wykrywania podatności. W razie problemów jesteśmy objęci OC zawodowym, więc ryzyko jest minimalne.
Audyt zgodności a test penetracyjny
Test penetracyjny skupia się na znalezieniu podatności w konkretnym momencie, natomiast audyt ETSI EN 303 645 ocenia całe cyberbezpieczeństwo cyklu życia produktu IoT: od projektowania, przez konfigurację fabryczną, aktualizacje oprogramowania, po zarządzanie danymi i prywatnością użytkownika. Nasz audyt obejmuje oba elementy: dogłębne testy bezpieczeństwa, w tym testy penetracyjne urządzenia, aplikacji oraz interfejsów komunikacyjnych, i ocenę formalną wymagań.
Aplikację sterującą urządzeniem testujemy według tej samej metodyki, co w usłudze testy penetracyjne aplikacji mobilnej sterującej urządzeniem.
Podejście holistyczne
Nie ograniczamy się do „odhaczenia” listy kontrolnej. Łączymy audyt zgodności z praktycznymi testami bezpieczeństwa, aby dać Ci pełen obraz. Patrzymy szerzej na ekosystem: jeśli urządzenie komunikuje się z API w chmurze, również zbadamy bezpieczeństwo tego API. Dążymy do wykrycia zarówno luk technicznych, jak i słabości procesów (np. brak procedur aktualizacji). Dzięki temu masz pewność, że żaden istotny aspekt nie zostanie pominięty.
Zdalnie lub na miejscu, według harmonogramu
Każdy krok audytu realizujemy z zachowaniem poufności i pełnej współpracy z klientem. Jesteśmy elastyczni: audyt możemy przeprowadzić zdalnie (przygotujemy urządzenie do testów u nas w labie) lub w siedzibie Twojej firmy, jeśli wymagane są testy na miejscu. Cały proces przebiega według ustalonego harmonogramu, aby nie zakłócać harmonogramu prac rozwojowych Twojego produktu.
Jak wygląda proces audytu IoT krok po kroku?
Przeprowadzamy audyt w sposób usystematyzowany, transparentny i minimalnie obciążający Twój zespół. Poniżej opisujemy etapy takiego audytu zgodności.
- 01
Definiowanie zakresu audytu
Na początek wspólnie określamy, które urządzenia i komponenty mają zostać poddane audytowi. Ustalamy, czy w grę wchodzi tylko urządzenie IoT, czy także powiązane elementy ekosystemu: aplikacja mobilna, backend, chmura i API. Po rozmowie dostajesz wycenę z konkretnym zakresem i harmonogramem.
- 02
Analiza wstępna i przegląd dokumentacji
Audyt rozpoczynamy od zebrania informacji o produkcie. Twój zespół dostarcza nam dokumentację techniczną urządzenia (architektura systemu, schematy, wykaz funkcjonalności, listę interfejsów sieciowych, protokołów komunikacji itp.). Analizujemy również już istniejące polityki bezpieczeństwa (politykę aktualizacji, procedurę zgłaszania podatności) oraz zgodność produktu z wymogami. Na tym etapie identyfikujemy potencjalne obszary ryzyka.
- 03
Testy bezpieczeństwa (ocena praktyczna)
Następnie przechodzimy do właściwych testów: zabezpieczenia sprzętowe, firmware, interfejsy sieciowe i komunikacja z chmurą i aplikacją, weryfikacja implementacji wymogów normy oraz analiza konfiguracji i kodu. Testy prowadzimy w laboratorium, na urządzeniu testowym, a ustalenia widzisz na bieżąco w platformie vulnerability management VIPentest.
- 04
Ocena zgodności z normą ETSI
Równolegle z testami technicznymi wypełniamy audit checklist oparty na 13 obszarach normy. Każdy z 68 wymogów dostaje status: spełniony, częściowo spełniony lub niezgodność, z uwagami. Ocena obejmuje aspekt techniczny i organizacyjny.
- 05
Raportowanie wyników
Opracowujemy obszerny raport z audytu IoT: podsumowanie kierownicze, szczegółowe wyniki testów z dowodami i klasyfikacją, priorytetyzowane rekomendacje, matrycę zgodności z ETSI 303 645 i materiały uzupełniające. Szczegóły w sekcji poniżej.
- 06
Omówienie wyników i doradztwo posprzedażowe
Po przekazaniu raportu organizujemy z Twoim zespołem spotkanie (workshop), na którym omawiamy szczegółowo wyniki audytu. Wyjaśniamy znaczenie znalezionych podatności, odpowiadamy na pytania programistów i architektów, wspólnie ustalamy plan działań naprawczych. Naszym celem jest nie tylko wskazanie problemów, ale także pomoc w ich rozwiązaniu: w ramach usługi oferujemy weryfikację proponowanych poprawek, konsultacje przy wdrażaniu mechanizmów bezpieczeństwa oraz ponowny audyt (retest) wybranych elementów po wprowadzeniu zmian, do 30 dni od raportu w cenie. Dzięki temu masz pewność, że zalecenia zostały poprawnie zaimplementowane i produkt finalnie spełnia założone kryteria bezpieczeństwa.
Cennik audytu bezpieczeństwa IoT
Od 9 999 zł netto. Koszt zależy od zakresu prac i stopnia skomplikowania projektu: liczby komponentów (urządzenie, firmware, aplikacja mobilna, backend, chmura), typu testów (np. sprzętowe) oraz czasu trwania. Każdy audyt wyceniamy indywidualnie po wstępnej rozmowie i analizie, zawsze otwarcie „od”, bez górnej granicy. Zachęcamy do kontaktu po bezpłatną wycenę dostosowaną do Twoich potrzeb.
Ile czasu zajmuje audyt? Czas zależy od zakresu i złożoności urządzenia, ale typowo pełny audyt pojedynczego urządzenia IoT zajmuje od 2 do 6 tygodni. Proste urządzenia (o ograniczonej liczbie funkcji) mogą zostać sprawdzone w około 2 tygodnie, podczas gdy bardziej złożone ekosystemy (urządzenie + aplikacja + chmura) wymagają więcej czasu na analizę i testy. Na harmonogram wpływa też dostępność dokumentacji oraz ewentualne wsparcie Twojego zespołu. Zawsze staramy się dopasować do Twoich terminów: jeśli zależy Ci na szybkim wyniku, dostosujemy zespół i tempo pracy.
Jeśli potrzebujesz oceny zgodności z innymi regulacjami (NIS2, DORA, ISO 27001), zobacz audyt zgodności.
Zawsze w cenie:
- raport z audytu z podsumowaniem kierowniczym, szczegółowymi wynikami testów, rekomendacjami i matrycą zgodności z ETSI 303 645,
- warsztat omawiający wyniki z Twoim zespołem i retest wybranych elementów po wprowadzeniu poprawek do 30 dni od raportu,
- dostęp do platformy vulnerability management VIPentest, w której ustalenia i status ich zamknięcia widzisz na bieżąco,
- konsultacja z audytorem po zakończeniu prac oraz, na życzenie, świadectwo zgodności dla spełnionych wymogów.
Co dostajesz w raporcie: efekty końcowe audytu
Po zakończeniu audytu bezpieczeństwa IoT zgodnego z ETSI EN 303 645 dostarczymy Ci kompletny pakiet rezultatów, które pomogą w dalszym doskonaleniu produktu i jego certyfikacji.
Raport z audytu IoT: sekcje
- Podsumowanie kierownicze (Executive Summary): zwięzła synteza najważniejszych ustaleń: ogólny poziom bezpieczeństwa produktu, główne zidentyfikowane ryzyka oraz pozytywne aspekty (gdzie spełniono wymagania). Ta część jest zrozumiała dla osób nietechnicznych i kadry zarządzającej.
- Szczegółowe wyniki testów: opisujemy wszystkie wykryte podatności i niezgodności wraz z ich klasyfikacją (krytyczna / wysoka / średnia / niska). Każda kwestia jest udokumentowana dowodami (zrzuty ekranów, logi, zdjęcia z testów sprzętowych) oraz mapowana na konkretne wymaganie normy ETSI, którego dotyczy.
- Rekomendacje zabezpieczeń: dla każdej znalezionej podatności lub braku zgodności dostarczamy konkretne zalecenia naprawcze. Podpowiadamy, jak załatać lukę (wdrożyć szyfrowanie, zmienić konfigurację, poprawić kod) lub jak spełnić dany wymóg normy (opracować politykę haseł, dodać funkcję resetu urządzenia do ustawień fabrycznych itp.). Rekomendacje są priorytetyzowane: wskazujemy, co należy naprawić od razu, a co można w kolejnych iteracjach.
- Matryca zgodności z ETSI 303 645: załączamy tabelaryczne zestawienie wszystkich wymagań normy i statusu ich spełnienia przez produkt. Ta sekcja jasno pokazuje, które obszary są już zgodne, a które wymagają działań.
- Materiały uzupełniające: jeśli dotyczy, dołączamy logi z narzędzi skanujących, fragmenty kodu z zaznaczonymi błędami, wyniki testów wydajności/obciążeniowych (np. dla sprawdzenia odporności na DoS) czy inne techniczne detale istotne dla zespołu inżynierskiego.
Wszystkie powyższe elementy otrzymujesz w ramach naszej usługi, wraz z pełnym wsparciem posprzedażowym. Nie zostawiamy Cię z raportem samego: służymy radą i pomocą aż do momentu, gdy uznasz, że Twój produkt jest gotów, by bezpiecznie podbić rynek.
Efekty końcowe audytu – co otrzymujesz?
- Szczegółowy raport z audytu: opisany obok dokument stanie się dla Ciebie mapą drogową do poprawy bezpieczeństwa. Raport jest Twoją własnością: możesz wykorzystać go wewnętrznie (np. do przekazania programistom listy poprawek) oraz zewnętrznie (przedstawiając klientom lub partnerom dowód przeprowadzenia niezależnego audytu).
- Lista rekomendacji i plan działania: otrzymasz przejrzystą listę działań korygujących posegregowaną według priorytetu. Dzięki temu od razu wiesz, na czym się skupić w pierwszej kolejności, aby podnieść poziom bezpieczeństwa i zgodności z normą. Dobre praktyki wskazane w rekomendacjach pomogą też ulepszyć proces tworzenia oprogramowania (Security Development Lifecycle) w Twojej firmie.
- Potwierdzenie zgodności (dla obszarów spełnionych): jeśli Twój produkt już spełnia część wymagań normy, podkreślamy to w raporcie. Na życzenie możemy wystawić świadectwo zgodności (Attestation of Conformance) dla urządzenia w zakresie spełnionych wymogów ETSI 303 645. Nie jest to certyfikat akredytowany (obecnie w UE nie ma oficjalnego obowiązkowego certyfikatu IoT), ale potwierdza, że niezależny audytor zweryfikował urządzenie, i przyda się w rozmowach z kontrahentami lub w procesie uzyskiwania certyfikatów.
- Przygotowanie do certyfikacji i oceny na zgodność z CRA: nasz audyt to idealny punkt wyjścia do ubiegania się o certyfikaty lub przygotowania deklaracji zgodności UE. Po wdrożeniu naszych zaleceń Twoje urządzenie będzie gotowe na formalną certyfikację w niezależnym akredytowanym laboratorium, jeśli zdecydujesz się na taki krok. Dotyczy to zarówno certyfikatów bezpieczeństwa IoT, znaków jakości (np. brytyjski kitemark IoT), jak i spełnienia wymagań unijnego rozporządzenia CRA (które wprowadza obowiązek oznakowania CE z uwzględnieniem cyberbezpieczeństwa). Innymi słowy: audyt pomaga Ci bezboleśnie przejść przez późniejsze procedury oceny zgodności.
- Wartość dodana dla marketingu: możliwość komunikowania, że Twój produkt został poddany audytowi bezpieczeństwa IoT zgodnemu z uznaną normą, stanowi konkretną przewagę. Możesz wykorzystać wyniki (lub sam fakt audytu) w materiałach promocyjnych, dokumentacji technicznej, whitepaperach dla klientów, pokazując, że bierzesz bezpieczeństwo na poważnie. Wielu producentów zamieszcza np. badge lub wzmiankę „Security tested – ETSI 303 645 compliant” na swoich stronach, co pozytywnie wpływa na postrzeganie marki przez klientów.
Audyt IoT a Cyber Resilience Act (CRA)
Przeprowadzenie audytu według normy ETSI nie jest formalnie obowiązkowe z punktu widzenia prawa: to dobrowolna usługa, która pozwala upewnić się, że urządzenie spełnia najlepsze praktyki. Coraz więcej regulacji pośrednio wymusza jednak zgodność z tym standardem.
Czy audyt IoT jest obowiązkowy?
Wiele państw i regionów opiera swoje wymogi prawne na normie ETSI EN 303 645. W Wielkiej Brytanii ustawa PSTI zobowiązuje producentów IoT do wyeliminowania domyślnych haseł i publikacji polityki aktualizacji bezpieczeństwa, co pokrywa się z założeniami ETSI. W praktyce brak zgodności z normą może oznaczać niezgodność z prawem (np. przy oznakowaniu CE po rozpoczęciu stosowania CRA). Dlatego zdecydowanie zalecamy audyt: to inwestycja wyprzedzająca wymogi, która pozwala uniknąć problemów w późniejszym czasie.
Co wymaga Unia Europejska: RED i CRA
Aktualizacja dyrektywy RED (dot. urządzeń radiowych) wprowadza minimalne wymagania cyberbezpieczeństwa dla urządzeń bezprzewodowych, a Cyber Resilience Act, rozporządzenie (UE) 2024/2847, obejmuje szeroką gamę produktów z elementami cyfrowymi. Obowiązki zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów stosuje się od 11 września 2026 r., a pełne wymagania wobec produktów od 11 grudnia 2027 r. Oznacza to, że producenci sprzętu i oprogramowania muszą spełniać podstawowe wymogi cyberbezpieczeństwa, aby wprowadzić produkt na rynek UE.
Jak audyt ETSI przygotowuje do CRA
Wymagania CRA (bezpieczna konfiguracja domyślna, brak znanych podatności, aktualizacje w okresie wsparcia, obsługa zgłoszeń podatności, ochrona danych) pokrywają się w dużej mierze z 13 obszarami normy ETSI EN 303 645. Matryca zgodności z audytu pokazuje więc od razu, które obowiązki CRA produkt już spełnia, a rekomendacje układają plan działań przed oceną zgodności i oznakowaniem CE. Zgodność z innymi regulacjami (NIS2, DORA) sprawdzamy w ramach usługi audyt zgodności.
Dlaczego my? Doświadczenie, certyfikaty, zaufanie
Wybierając nasz audyt IoT, zyskujesz partnera, który posiada unikalne kompetencje i doświadczenie w dziedzinie cyberbezpieczeństwa IoT.
Doświadczony zespół ekspertów
Nasi inżynierowie bezpieczeństwa od lat specjalizują się w testach IoT: łączymy wiedzę z zakresu software, hardware, sieci i kryptografii. Przeprowadziliśmy dziesiątki audytów i testów penetracyjnych urządzeń: od elektroniki użytkowej smart home, przez rozwiązania medyczne IoMT, po moduły komunikacji w automotive. Dzięki temu rozumiemy specyfikę różnych platform (systemy wbudowane, RTOS, Android, firmware MCU) oraz typowe zagrożenia w poszczególnych branżach.
Realne referencje i sukcesy
Pomogliśmy wielu firmom wdrożyć normę IoT ETSI w ich produktach. Przykładowo, w 2022 roku audytowaliśmy inteligentny system monitoringu domu, wykrywając krytyczne luki, które klient następnie usunął przed wprowadzeniem produktu na rynek. Innym razem przygotowaliśmy producenta sprzętu medycznego IoT do pomyślnego przejścia audytu certyfikacyjnego wg wymagań regulatora. Nasze studia przypadków pokazują, że nasze rekomendacje realnie poprawiają bezpieczeństwo i przełożyły się na uzyskanie certyfikatów oraz zwiększenie sprzedaży (dzięki zaufaniu klientów).
Podejście holistyczne
W odróżnieniu od innych, nie ograniczamy się tylko do „odhaczenia” listy kontrolnej. Łączymy audyt zgodności z praktycznymi testami bezpieczeństwa, aby dać Ci pełen obraz. Patrzymy szerzej na ekosystem: jeśli urządzenie komunikuje się z API w chmurze, również zbadamy bezpieczeństwo tego API. Dążymy do wykrycia zarówno luk technicznych, jak i słabości procesów.
Certyfikaty branżowe
Nasz zespół posiada certyfikaty potwierdzające umiejętności, m.in. OSCP (Offensive Security Certified Professional), ceniony certyfikat z testów penetracyjnych, oraz OSWE i OSEP, a także certyfikaty specjalistyczne z zakresu bezpieczeństwa aplikacji i chmury (dostępne na życzenie klienta).
Transparentność i etyka pracy
Gwarantujemy pełną poufność Twoich danych i wyników audytu. Raport otrzymujesz tylko Ty, a my nie ujawniamy żadnych informacji o podatnościach osobom trzecim. Pracujemy według uznanych norm etycznych i zgodnie z metodologiami OWASP, ISO 27001, PTES. Nasze podejście jest partnerskie: zależy nam na długofalowej współpracy, dlatego stawiamy na otwartą komunikację, rzetelność i dotrzymywanie terminów.
Partner, nie tylko usługa
Wybierając nasz audyt bezpieczeństwa IoT, otrzymujesz nie tylko usługę, ale i partnera, który zaangażuje się w poprawę bezpieczeństwa Twojego produktu na każdym etapie. Nasze kompetencje i profesjonalizm przekładają się na Twój spokój ducha i zaufanie klientów do Twojej marki.
Jak najlepiej przygotować się do audytu IoT?
Lepsze przygotowanie skraca czas audytu. Przed startem potrzebujemy od Ciebie czterech rzeczy.
Cztery rzeczy przed startem
- Urządzenie testowe. Najlepiej egzemplarz inżynieryjny, który możemy bezpiecznie rozebrać, podłączyć do sprzętu debugującego i zaktualizować bez wpływu na produkcję.
- Dokumentacja techniczna. Schematy, instrukcje, protokoły komunikacji, architektura systemu, lista interfejsów sieciowych i funkcjonalności.
- Kontakt techniczny. Osoba po Twojej stronie, która odpowie na pytania o architekturę i dostarczy dostępy do aplikacji, backendu lub chmury, jeśli są w zakresie.
- Opcjonalnie: testy wewnętrzne. Wykonaj podstawowe sprawdzenia (zmiana hasła domyślnego, aktualizacja firmware, polityka aktualizacji), żeby audyt skupił się na tym, czego sam nie zweryfikujesz.
Uwagi końcowe
VIPentest Sp. z o.o. zastrzega sobie prawo do modyfikacji planu audytu w zależności od bieżących potrzeb i ustaleń z klientem. Zakres, lista komponentów i harmonogram są uzgadniane pisemnie przed rozpoczęciem testów, tak aby nie zakłócać prac rozwojowych nad produktem.
Jeśli nie masz jeszcze kompletnej dokumentacji albo egzemplarza inżynieryjnego, nie blokuje to wyceny: zakres i sposób dostarczenia urządzenia (do naszego laboratorium lub testy na miejscu) ustalamy podczas rozmowy. Wynik dostajesz na piśmie: liczba komponentów, typ testów, czas trwania i cena netto.
Najczęściej zadawane pytania
Czym jest audyt bezpieczeństwa IoT zgodny z ETSI EN 303 645 V2.1.1?
Audyt bezpieczeństwa IoT zgodny z normą ETSI EN 303 645 V2.1.1 to kompleksowa ocena cyberbezpieczeństwa urządzeń Internetu Rzeczy (IoT) pod kątem wymagań określonych przez Europejski Instytut Norm Telekomunikacyjnych. Standard ten definiuje najlepsze praktyki i minimalne wymagania bezpieczeństwa dla producentów urządzeń IoT, takich jak kamery IP, routery, smart home, wearables czy urządzenia medyczne.
Dlaczego audyt ETSI EN 303 645 jest ważny dla producentów IoT?
Zgodność z ETSI EN 303 645 pomaga uniknąć podatności, zwiększyć zaufanie klientów i spełnić wymogi regulacyjne (np. NIS2, Cyber Resilience Act). Audyt potwierdza, że urządzenie zostało zaprojektowane i skonfigurowane w sposób zapewniający ochronę danych użytkownika, odporność na ataki sieciowe i bezpieczeństwo aktualizacji oprogramowania.
Jak przebiega audyt bezpieczeństwa IoT zgodny z ETSI EN 303 645?
Proces obejmuje analizę dokumentacji technicznej, testy penetracyjne urządzenia IoT, analizę firmware’u, badanie protokołów komunikacyjnych, ocenę zarządzania aktualizacjami oraz weryfikację mechanizmów uwierzytelniania i prywatności. Wynikiem jest szczegółowy raport z rekomendacjami naprawczymi.
Jakie urządzenia podlegają audytowi IoT według ETSI EN 303 645?
Audyt dotyczy wszystkich urządzeń podłączonych do Internetu, które przetwarzają lub przesyłają dane — m.in. urządzenia smart home, routery, systemy alarmowe, czujniki przemysłowe, urządzenia medyczne, smartwatche, telewizory, liczniki energii czy moduły IoT w samochodach.
Czy audyt ETSI EN 303 645 jest wymagany prawnie?
Audyt według ETSI EN 303 645 nie jest formalnie obowiązkowy, ale regulacje pośrednio wymuszają zgodność z tym standardem. Dyrektywa NIS2 i Cyber Resilience Act (rozporządzenie (UE) 2024/2847, którego obowiązki zgłaszania podatności stosuje się od 11 września 2026 r., a pełne wymagania wobec produktów od 11 grudnia 2027 r.) wprowadzają wymóg zgodności produktów z elementami cyfrowymi z wymaganiami bezpieczeństwa. Norma ETSI EN 303 645 jest uznawana za referencyjny standard dla konsumenckiego IoT, a brytyjska ustawa PSTI opiera się na tych samych założeniach.
Czym różni się audyt IoT ETSI EN 303 645 od klasycznego testu penetracyjnego?
Test penetracyjny skupia się na znalezieniu podatności w konkretnym momencie, natomiast audyt ETSI EN 303 645 ocenia całe cyberbezpieczeństwo cyklu życia produktu IoT — od projektowania, przez konfigurację fabryczną, aktualizacje oprogramowania, po zarządzanie danymi i prywatnością użytkownika.
Kto powinien wykonać audyt bezpieczeństwa IoT ETSI EN 303 645?
Audyt powinien być przeprowadzony przez niezależnych ekspertów ds. cyberbezpieczeństwa IoT, posiadających doświadczenie w testach urządzeń embedded, analizie firmware’u, protokołów komunikacyjnych oraz zgodności z normami ETSI, NIST i ISO/IEC 62443.
Jak długo trwa audyt bezpieczeństwa IoT?
Czas trwania zależy od złożoności urządzenia i zakresu testów: typowo pełny audyt pojedynczego urządzenia IoT zajmuje od 2 do 6 tygodni. Proste urządzenia o ograniczonej liczbie funkcji sprawdzamy w około 2 tygodnie, a rozbudowane ekosystemy (urządzenie + aplikacja mobilna + chmura, np. smart home lub IoT gateway) wymagają więcej czasu na analizę backendu i aplikacji. Na harmonogram wpływa dostępność dokumentacji i wsparcie Twojego zespołu; jeśli zależy Ci na szybkim wyniku, dostosujemy zespół i tempo pracy.
Czy po audycie otrzymam raport i rekomendacje?
Tak. Po zakończeniu audytu przygotowywany jest szczegółowy raport techniczny, zawierający wyniki testów, wykryte podatności, ich klasyfikację wg CWE, CVSS, OWASP IoT Top 10, oraz rekomendacje naprawcze i plan działań pod kątem zgodności z ETSI EN 303 645.
Ile kosztuje audyt bezpieczeństwa IoT zgodny z ETSI EN 303 645 V2.1.1?
Cena audytu bezpieczeństwa IoT zgodnego z normą ETSI EN 303 645 V2.1.1 zaczyna się od 9 999 zł netto + VAT. Ostateczny koszt zależy od liczby i złożoności testowanych urządzeń oraz od zakresu analizy (testy firmware’u, sprzętowe, aplikacji mobilnej, backendu czy chmury). W cenie jest raport z matrycą zgodności, warsztat omawiający wyniki, retest wybranych elementów do 30 dni od raportu i dostęp do platformy vulnerability management. Po wstępnym określeniu zakresu przygotowujemy indywidualną wycenę dopasowaną do specyfiki projektu.
Czy otrzymam oficjalny certyfikat po zakończonym audycie IoT?
Audyt kończy się wydaniem raportu oraz, na życzenie, świadectwa zgodności (Attestation of Conformance) z normą ETSI EN 303 645 w zakresie spełnionych wymogów. Nie jest to certyfikat akredytowany: obecnie w UE nie ma oficjalnego obowiązkowego certyfikatu IoT. Świadectwo potwierdza, że niezależny audytor zweryfikował urządzenie, i może być przedstawione partnerom, klientom lub jednostce prowadzącej późniejszą formalną certyfikację albo ocenę zgodności z CRA.
Czy testy bezpieczeństwa mogą uszkodzić moje urządzenie lub dane?
Testy przeprowadzamy ostrożnie, w kontrolowanym środowisku laboratoryjnym i na urządzeniu testowym (najlepiej egzemplarzu inżynieryjnym) oraz na kopiach środowisk testowych. Nie wpływają one na realnych użytkowników ani dane produkcyjne. Działania o podwyższonym ryzyku, np. dump firmware przez porty debug, uzgadniamy wcześniej. W razie problemów jesteśmy objęci OC zawodowym, więc ryzyko jest minimalne.
Powiązane usługi
Sprawdź, ile kosztuje test w Twoim zakresie
Opisz aplikację, system lub organizację w krótkim formularzu. Oddzwonimy tego samego dnia z wyceną i planem testów. Bez zobowiązań, z NDA przed rozmową.
- Potwierdzenie zgłoszeniaOdpisujemy w ciągu 24 h w dni robocze i dopytujemy o zakres.
- Rozmowa o zakresie pod NDAUstalamy cele, środowisko, terminy i sposób dostępu.
- Wycena i plan testówZwykle tego samego dnia po rozmowie. Bez zobowiązań.
- Retest do 30 dni w cenie
- Raport gotowy dla audytora
- Platforma vulnerability management
Napisz do nas: bezpłatna wycena i konsultacja zakresu
Opisz krótko, co chcesz przetestować (aplikację, system, organizację). Odpowiadamy w ciągu jednego dnia roboczego.
