Sigurnost interneta stvari (IoT) u 2026. godini više nije tema za budućnost, već svakodnevna operativna obveza. Regulatori na više kontinenata uvode stroža pravila, a proizvođači i operateri sustava moraju dokazati da njihove pametne kamere, senzori, gateway uređaji i industrijski kontroleri mogu izdržati stvarne kibernetičke napade – i to tijekom cijelog životnog vijeka.
Od preporuka do zakonske obveze: regulatorni zaokret
Posljednjih godina sigurnost IoT uređaja uglavnom se oslanjala na dobrovoljne smjernice i industrijske preporuke. To se mijenja. Europski Cyber Resilience Act (CRA) uvodi obvezne sigurnosne zahtjeve za širok spektar povezanih proizvoda, od potrošačke elektronike do industrijskih sustava. Proizvođači će morati dokazati da su rizike procijenili, da ranjivosti aktivno prate i da zakrpe isporučuju pravodobno.
U Sjedinjenim Državama, FCC IoT Cybersecurity Labelling Program ide drugim putem: uvodi oznake na pakiranju koje krajnjim korisnicima signaliziraju minimalnu razinu sigurnosti. Ideja je jednostavna – kao što kupci gledaju energetske naljepnice na kućanskim aparatima, tako bi trebali moći prepoznati i sigurnosno zrelije IoT uređaje. Iako je program formalno dobrovoljan, tržišni pritisak trgovaca i velikih kupaca postupno ga pretvara u de facto standard.
Australija i niz drugih država uvode vlastite standarde za pametne uređaje, često temeljene na postojećim preporukama poput ETSI EN 303 645. Zajednička poruka svih tih inicijativa je jasna: sigurnost više nije dodatna opcija ili marketinška značajka, već zakonska obveza. Nedostatak osnovnih sigurnosnih mehanizama može značiti povlačenje proizvoda s tržišta, novčane kazne ili gubitak pristupa ključnim kanalima prodaje.
Slaba karika: politike prijave ranjivosti
Unatoč regulatornom pritisku, praksa na terenu kasni. Nedavni izvještaji o stanju politika prijave ranjivosti (vulnerability disclosure policies, VDP) pokazuju da tek nešto više od 40 posto globalnih proizvođača potrošačkog IoT-a ima formaliziran i javno objavljen kanal za prijavu sigurnosnih propusta.
VDP je u osnovi jednostavan dokument i proces: definira kako istraživači, CERT timovi ili korisnici mogu prijaviti ranjivost, na koju adresu, u kojem formatu i što mogu očekivati zauzvrat. Uključuje i okvirne rokove za potvrdu primitka prijave, početnu analizu te koordinirano objavljivanje (coordinated vulnerability disclosure, CVD) nakon što je zakrpa spremna.
Kada takva politika ne postoji, istraživači često lutaju od opće kontakt forme do korisničke podrške, bez jasnog odgovora tko je odgovoran za sigurnost. U najgorem slučaju, proizvođač ignorira prijavu ili prijetnju shvati tek kada se ranjivost počne aktivno iskorištavati. Tada je već kasno za mirno i koordinirano rješavanje problema.
Za proizvođače je uspostava VDP-a relativno mali trošak u usporedbi s potencijalnom štetom od incidenta: prekid usluge, gubitak podataka, reputacijska šteta i regulatorne sankcije. U 2026. godini, izostanak VDP-a postaje jasan indikator nezrelosti sigurnosnih procesa.
Telnet i naslijeđeni protokoli: stari problemi u novom ciklusu
Kritični propust u implementacijama Telnet protokola (CVE-2026-24061) još je jednom pokazao koliko je opasno oslanjanje na zastarjele tehnologije u IoT okruženju. Telnet je dizajniran u doba kada enkripcija nije bila standard. Lozinke i podaci putuju u čistom tekstu, bez zaštite od prisluškivanja ili manipulacije.
Ipak, tisuće naslijeđenih IoT uređaja, od kućnih routera do industrijskih gateway uređaja, i dalje imaju omogućen Telnet – često s tvorničkim zadanim lozinkama koje korisnici nikada ne mijenjaju. Kada se pojavi nova ranjivost, kombinacija slabih lozinki, nesigurnog protokola i izloženosti internetu stvara idealne uvjete za masovna kompromitiranja.
Iako je za CVE-2026-24061 zakrpa brzo postala dostupna, broj zakrpanih uređaja ostaje nizak. Razlog je strukturalan: mnogi proizvođači nemaju automatizirane procese distribucije firmware ažuriranja, niti jasno komuniciraju s korisnicima o hitnosti nadogradnji. Dio uređaja više uopće nema podršku proizvođača, ali je i dalje u produkciji, osobito u industrijskim i infrastrukturnim okruženjima.
Posljedice su poznate iz prethodnih valova IoT botneta: kompromitirani uređaji mogu postati dio distribuiranih napada uskraćivanja usluge (DDoS), koristiti se za špijunažu, manipulaciju podacima senzora ili kao odskočna daska za napad na druge dijelove mreže. Svaka rupa u procesu prijave ranjivosti i zakrpe izravno povećava rizik za cijeli ekosustav.
Security by design kao stvarni inženjerski zadatak
Za proizvođače IoT opreme, 2026. godina označava prijelaz s deklarativnog „security by design” pristupa na mjerljive i dokazive prakse. Taj se zaokret može sažeti u tri paralelna toka rada.
1. Formalna politika prijave ranjivosti (VDP i CVD)
Prvi korak je uspostava javno dostupne politike prijave ranjivosti. To uključuje:
- namjensku e-mail adresu ili portal za prijavu propusta,
- jasno opisane korake za prijavitelje,
- definirane rokove za potvrdu primitka i početni odgovor,
- pravila za koordinirano otkrivanje, uključujući dogovorene rokove objave,
- interni tim ili barem odgovornu osobu za koordinaciju sigurnosnih prijava.
Napredniji proizvođači uvode i programe nagrađivanja (bug bounty), no i osnovni VDP značajno podiže razinu sigurnosti. Ključno je da politika bude lako dostupna – idealno preko „security” ili „vulnerability disclosure” stranice vidljive s početne stranice proizvođača.
2. Usklađivanje sa sigurnosnim standardima poput EN 17927 (SESIP)
Drugi tok rada odnosi se na formalnu evaluaciju sigurnosti proizvoda. Okviri poput EN 17927 (SESIP – Security Evaluation Standard for IoT Platforms) omogućuju proizvođačima da strukturirano procijene i dokažu sigurnosne značajke svojih IoT platformi kroz razine pouzdanosti.
SESIP je posebno prilagođen IoT okruženju, gdje se često koriste komponente niske potrošnje, ograničene procesorske snage i specijalizirani operativni sustavi. Umjesto jedne binarne ocjene „sigurno/nesigurno”, SESIP uvodi razine koje odražavaju koliko je duboko sigurnost integrirana u dizajn, implementaciju i održavanje proizvoda.
Za proizvođače to znači ulaganje u dokumentaciju, testiranje i, po potrebi, neovisne evaluacije. No zauzvrat dobivaju dokaz koji mogu koristiti u komunikaciji s regulatorima, poslovnim kupcima i partnerima. U uvjetima pooštravanja propisa, takvi dokazi postaju važan diferencijator na tržištu.
3. Tehnička modernizacija: od Telnet-a do secure boot-a
Treći tok rada je čisto tehnički. Proizvođači moraju ukloniti nesigurne protokole i uvesti suvremene zaštitne mehanizme na razini uređaja i firmware-a. To uključuje:
- potpuno uklanjanje ili barem zadano isključivanje Telnet-a i sličnih protokola bez enkripcije,
- uvođenje obvezne enkripcije komunikacije (npr. TLS) za upravljačke i podatkovne kanale,
- provjeru integriteta firmware-a, primjerice putem digitalnih potpisa,
- sigurno pokretanje (secure boot) kako bi se spriječilo učitavanje neautoriziranog koda,
- sigurno upravljanje ključevima i vjerodajnicama, uključujući jedinstvene lozinke po uređaju,
- mehanizme za sigurno i, gdje je moguće, automatsko ažuriranje firmware-a.
Za mnoge proizvođače to znači redizajn postojećih platformi, uvođenje sigurnosnih modula na razini čipova (secure elements) i usku suradnju s dobavljačima komponenti. No bez takve modernizacije, ispunjavanje regulatornih zahtjeva i održavanje povjerenja kupaca bit će sve teže.
Uloga operatera i vlasnika sustava: aktivno upravljanje rizikom
Operateri mreža, vlasnici zgrada, industrijski pogoni i pružatelji usluga koji se oslanjaju na IoT ne mogu pasivno čekati da proizvođači riješe sve probleme. Njihova odgovornost počinje inventarizacijom postojećih uređaja.
Prvi korak je izraditi ažuran popis svih povezanih uređaja: senzora, aktuatora, kamera, pametnih brojila, gateway i edge uređaja. Zatim treba identificirati one koji koriste zastarjele protokole ili više nemaju aktivnu podršku proizvođača. Takvi uređaji predstavljaju trajni rizik, čak i ako trenutno nema poznatih ranjivosti.
Za kritične ili nepodržane uređaje potrebno je definirati jasnu strategiju:
- segmentacija mreže kako bi se ograničio pristup i smanjile posljedice kompromitiranja,
- uvođenje dodatnih sigurnosnih kontrola, poput mrežnih vatrozida i sustava za detekciju anomalija,
- planirana zamjena uređaja u razumnom roku, posebno u okruženjima s visokim rizikom,
- dodatno praćenje i ograničavanje pristupa daljinskom upravljanju.
Pri nabavi novih rješenja više nije dovoljno tražiti listu sigurnosnih funkcionalnosti. Kupci bi trebali inzistirati na dokazima o zrelosti sigurnosnih procesa dobavljača: postojanje VDP-a, usklađenost s relevantnim standardima, jasno definirane obveze dugoročne podrške i nadogradnji.
Ugovori o nabavi sve češće uključuju klauzule o maksimalnom vremenu za isporuku zakrpa nakon otkrivanja kritične ranjivosti, obveznu obavijest o incidentima i minimalno razdoblje podrške za firmware. Takve odredbe pretvaraju sigurnost iz apstraktnog obećanja u operativno mjerljivu obvezu.
Od pitanja „jesu li sigurni?” do „možemo li to dokazati?”
IoT ekosustav u 2026. godini prolazi kroz ključnu transformaciju. Fokus se pomiče s nominalne sigurnosti uređaja na mogućnost dokazivanja da su sigurni – i da će takvi ostati tijekom cijelog životnog vijeka. Regulatorni okviri poput CRA-a, programi označavanja poput FCC-ovog i nacionalni standardi stvaraju okvir u kojem proizvođači više ne mogu ignorirati ranjivosti ili ih rješavati ad hoc.
Istodobno, činjenica da manje od polovice proizvođača potrošačkog IoT-a ima formalnu politiku prijave ranjivosti pokazuje koliko posla još treba obaviti. Bez jasnih kanala za prijavu, automatiziranih procesa ažuriranja i tehničke modernizacije, nove ranjivosti poput CVE-2026-24061 nastavit će se pretvarati u masovne incidente.
Rješenje zahtijeva zajednički napor. Proizvođači moraju ugraditi sigurnost u dizajn, razvoj i održavanje proizvoda. Operateri i krajnji korisnici moraju aktivno upravljati rizikom kroz inventarizaciju, segmentaciju i pametnu nabavu. Regulatori moraju nastaviti usklađivati zahtjeve i poticati transparentnost.
U tom kontekstu, naljepnice na pakiranju i politike prijave ranjivosti nisu kozmetičke mjere. One su vidljivi znakovi dublje promjene: prelaska s implicitnog povjerenja u IoT na model u kojem je sigurnost mjerljiva, provjerljiva i kontinuirano održavana.
