Bezpieczeństwo danych w produkcji kontraktowej: Model współodpowiedzialności w relacji OEM-EMS

Powierzenie produkcji zewnętrznemu partnerowi oznacza dziś powierzenie mu czegoś znacznie cenniejszego niż zlecenie montażu płytek. Producent OEM przekazuje partnerowi EMS pełną dokumentację konstrukcyjną, pliki Gerber, listy materiałowe (BOM), firmware, wyniki testów, a często również dane handlowe i osobowe swoich klientów. W momencie, w którym te informacje opuszczają serwery zleceniodawcy, bezpieczeństwo danych przestaje być wyłącznie problemem jednej organizacji — staje się współdzieloną odpowiedzialnością obu stron. Ten artykuł wyjaśnia, na czym polega model współodpowiedzialności w relacji OEM-EMS, jak rozłożyć obowiązki między partnerów oraz jak zbudować taki układ, który wytrzyma zarówno atak ransomware, jak i audyt zgodności z dyrektywą NIS2. Pokazujemy to również na przykładzie praktyk stosowanych w Assel.

Spis treści

1. Dlaczego bezpieczeństwo danych stało się kryterium wyboru partnera EMS
2. Czym jest model współodpowiedzialności w relacji OEM-EMS
3. Mapa aktywów informacyjnych w projekcie EMS — co dokładnie chronimy
4. Krajobraz zagrożeń poparty badaniami
5. Ramy regulacyjne: NIS2, ustawa KSC, RODO i normy ISO
6. Macierz odpowiedzialności: kto za co odpowiada
7. Model współodpowiedzialności w praktyce: podejście Assel
8. Studium przypadku: projekt z branży bezpieczeństwa
9. Warstwa organizacyjno-prawna: umowy, NDA i audyty
10. Due diligence: jak zweryfikować partnera EMS
11. Wdrożenie modelu współodpowiedzialności krok po kroku
12. Bezpieczeństwo w całym cyklu życia produktu
13. Podsumowanie
14. Najczęściej zadawane pytania (FAQ)

Dlaczego bezpieczeństwo danych stało się kryterium wyboru partnera EMS

Przez lata kluczowymi kryteriami wyboru dostawcy usług produkcji kontraktowej elektroniki były cena, jakość i terminowość. Dziś do tej triady dołączyło czwarte, równie ważne kryterium: dojrzałość w zakresie bezpieczeństwa informacji. Zmiana ta nie wynika z mody, lecz z twardych danych.

Według raportu IBM „Cost of a Data Breach 2024” średni koszt naruszenia danych w sektorze przemysłowym wyniósł 5,56 mln USD — o 18% więcej niż rok wcześniej, co czyni przemysł trzecią najbardziej narażoną finansowo branżą spośród siedemnastu badanych i lokuje go 13% powyżej globalnej średniej (4,88 mln USD)^[1]. Sektor produkcyjny wyróżnia się także czasem reakcji: średnio 199 dni zajmuje wykrycie naruszenia i kolejne 73 dni jego opanowanie. W środowisku produkcyjnym każda godzina nieplanowanego przestoju — na przykład wskutek ataku ransomware — może kosztować zakład, w zależności od branży, nawet 125 000 USD^[2]. To liczby, które zmieniają bezpieczeństwo z pozycji kosztowej w twardy argument biznesowy.

Dla producenta OEM oznacza to jedno: wybierając partnera do produkcji kontraktowej, wybiera się jednocześnie poziom ryzyka, jakie przyjmuje na siebie cała organizacja. Słabym ogniwem w łańcuchu dostaw staje się nie tylko własna infrastruktura, ale też każdy podmiot, któremu powierzono dane. I odwrotnie — dojrzały partner EMS potrafi tę odpowiedzialność udźwignąć i uczynić z niej przewagę konkurencyjną. Nie bez powodu coraz więcej klientów już na etapie onboardingu przeprowadza u swoich dostawców audyty bezpieczeństwa lub przesyła szczegółowe kwestionariusze bezpieczeństwa — praktyka, którą w Assel obserwujemy regularnie.

Czym jest model współodpowiedzialności w relacji OEM-EMS

Pojęcie „modelu współodpowiedzialności” (ang. *shared responsibility model*) najlepiej znane jest ze świata chmury obliczeniowej, gdzie dostawca infrastruktury odpowiada za bezpieczeństwo „chmury”, a klient — za bezpieczeństwo „w chmurze”. Ta sama logika doskonale opisuje relację między OEM a EMS, choć w praktyce produkcyjnej jest znacznie rzadziej formalizowana.

W modelu współodpowiedzialności OEM-EMS obie strony dzielą się kontrolą nad różnymi warstwami ochrony informacji, ale — co kluczowe — żadna z warstw nie pozostaje niczyja. Producent OEM pozostaje właścicielem własności intelektualnej i to on definiuje, co jest tajemnicą przedsiębiorstwa oraz jak dane powinny być klasyfikowane. Partner EMS odpowiada za operacyjne bezpieczeństwo środowiska, w którym te dane są przetwarzane: za segmentację sieci, kontrolę dostępu na hali produkcyjnej, zabezpieczenie stacji roboczych sterujących liniami SMT czy za sposób przechowywania dokumentacji.

Istotą modelu nie jest przerzucenie ryzyka na drugą stronę, lecz jego świadome i udokumentowane rozłożenie. Najgroźniejsze luki bezpieczeństwa nie powstają tam, gdzie jedna ze stron zawiodła, lecz tam, gdzie obie strony założyły, że za dany obszar odpowiada partner. Przykładem może być firmware wgrywany na linii produkcyjnej: OEM zakłada, że EMS zabezpiecza stacje programujące, EMS zakłada, że OEM dostarcza podpisane cyfrowo obrazy — a w rzeczywistości nikt nie kontroluje integralności pliku między jednym a drugim etapem. Model współodpowiedzialności eliminuje właśnie takie „szare strefy”. Warto przy tym podkreślić, że w praktyce podział ten wynika przede wszystkim z wymagań zdefiniowanych przez klienta, do których partner EMS się dopasowuje — to klient zachowuje pełny obraz zabezpieczeń i to jego wymagania wyznaczają zakres odpowiedzialności każdej ze stron. Rzadko przyjmuje on formę jednego, drobiazgowo spisanego dokumentu; częściej jest sumą uzgodnionych z klientem wymagań, które partner konsekwentnie realizuje.

Mapa aktywów informacyjnych w projekcie EMS — co dokładnie chronimy

Zanim rozłożymy odpowiedzialność, trzeba precyzyjnie określić przedmiot ochrony. W typowym projekcie produkcji kontraktowej elektroniki przez ręce partnera EMS przechodzi kilka kategorii wrażliwych aktywów informacyjnych, z których każda niesie inny profil ryzyka.

Pierwszą kategorią jest dokumentacja konstrukcyjna i projektowa: schematy ideowe, pliki Gerber, dane CAD/CAM, rysunki mechaniczne oraz specyfikacje. To rdzeń własności intelektualnej produktu — ich wyciek umożliwia odtworzenie konstrukcji przez konkurencję lub nieautoryzowaną produkcję równoległą.

Drugą kategorią jest lista materiałowa (BOM) wraz z danymi o dostawcach i cenach zakupu komponentów. Ujawnienie BOM-u to nie tylko utrata tajemnicy technologicznej, ale też odsłonięcie struktury kosztowej i relacji handlowych producenta.

Trzecią, często niedocenianą kategorią jest firmware i oprogramowanie wbudowane. Kod wgrywany na etapie produkcji stanowi zarówno cenną własność intelektualną, jak i potencjalny wektor ataku — nieautoryzowana modyfikacja obrazu firmware na linii może wprowadzić tylną furtkę do gotowego urządzenia.

Czwartą kategorią są dane produkcyjne i testowe: parametry procesu, wyniki testów funkcjonalnych i in-circuit, dane o wydajności i defektach. Pozwalają one odtworzyć know-how procesowe i jakościowe.

Piątą kategorią, istotną głównie w sektorach MedTech, przemysłowym i energetycznym, mogą być dane osobowe oraz dane objęte regulacjami. Ich ochrona podlega RODO oraz przepisom sektorowym, a odpowiedzialność za nie jest współdzielona na zasadach powierzenia przetwarzania. W praktyce dojrzały partner EMS często w ogóle nie dysponuje takimi danymi — Assel na przykład nie przetwarza danych pacjentów w żadnym z realizowanych produktów, dlatego ten przypadek pozostaje wyłączony z zakresu certyfikacji ISO 13485.

Skuteczny model współodpowiedzialności zaczyna się od wspólnej klasyfikacji tych aktywów i przypisania każdemu z nich poziomu poufności. Dopiero na tej podstawie można sensownie zdefiniować, kto, jak i na jak długo dane przechowuje oraz kto odpowiada za ich zabezpieczenie na każdym etapie.

Krajobraz zagrożeń poparty badaniami

Rozłożenie odpowiedzialności ma sens tylko wtedy, gdy odpowiada realnym zagrożeniom. Współczesny łańcuch dostaw elektroniki jest atakowany na kilku frontach jednocześnie, a badania z ostatnich lat pozwalają je uporządkować.

Ataki na łańcuch dostaw (*supply chain attacks*) należą do najszybciej rosnących kategorii zagrożeń. W swoich raportach „Threat Landscape” Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA)^[3] konsekwentnie wskazuje łańcuch dostaw jako jeden z kluczowych wektorów, podkreślając rosnący udział ataków sponsorowanych przez państwa oraz to, że kompromitacja jednego dostawcy pozwala napastnikowi dotrzeć do wielu organizacji naraz. W modelu OEM-EMS oznacza to, że atakujący nie musi łamać zabezpieczeń dobrze chronionego producenta OEM — wystarczy, że znajdzie lukę u któregokolwiek z jego partnerów lub podwykonawców.

Osobną, dobrze udokumentowaną w literaturze naukowej klasą ryzyka są podrabiane komponenty (counterfeit electronics) oraz sprzętowe konie trojańskie (hardware Trojans). Prace publikowane m.in. w czasopismach IEEE oraz na łamach ScienceDirect^[4] analizują, jak złośliwe implanty mogą zostać wprowadzone do płytek drukowanych na różnych etapach łańcucha dostaw i jak trudne jest ich wykrycie po fakcie. Dla relacji OEM-EMS wniosek jest jednoznaczny: kontrola oryginalności i pochodzenia komponentów — odrębna od identyfikowalności (traceability), która śledzi przepływ wyrobu przez produkcję — oraz zaufane kanały zaopatrzenia są integralną częścią bezpieczeństwa danych, a nie odrębnym zagadnieniem logistycznym — sfałszowany układ scalony to również potencjalna furtka do wycieku informacji z gotowego urządzenia.

Trzecim frontem jest ransomware i zagrożenia dla środowiska OT (technologii operacyjnej). W przeciwieństwie do klasycznego IT, w środowisku produkcyjnym atak nie kończy się na kradzieży danych — zatrzymuje linie, unieruchamia maszyny i generuje wspomniane koszty przestoju sięgające 125 000 USD za godzinę. Konwergencja sieci IT i OT, napędzana ideą Przemysłu 4.0, poszerza powierzchnię ataku: systemy niegdyś odizolowane od internetu dziś bywają połączone z sieciami korporacyjnymi.

Nie można wreszcie pominąć czynnika ludzkiego i zagrożeń wewnętrznych. Dane IBM pokazują, że w sektorze przemysłowym za naruszenia w 47% odpowiadają celowe ataki, ale aż 27% to błąd ludzki, a 26% — awarie systemów^[5]. Oznacza to, że ponad połowa incydentów ma podłoże, któremu można zapobiec dobrymi procedurami, szkoleniami i kontrolą dostępu, a nie wyłącznie zaawansowaną technologią.

Ramy regulacyjne: NIS2, ustawa KSC, RODO i normy ISO

Model współodpowiedzialności nie funkcjonuje w próżni prawnej. W ciągu ostatnich lat unijne i krajowe regulacje przekształciły bezpieczeństwo łańcucha dostaw z dobrej praktyki w twardy obowiązek, którego zaniedbanie grozi dotkliwymi karami.

Dyrektywa NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa

Dyrektywa NIS2, wdrażana do polskiego porządku prawnego poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC), rozszerza odpowiedzialność za cyberbezpieczeństwo na cały łańcuch dostaw. Podmioty zaklasyfikowane jako „kluczowe” lub „ważne” — a należą do nich liczne przedsiębiorstwa produkcyjne — muszą identyfikować swoich istotnych dostawców, oceniać związane z nimi ryzyko i wykazywać ustrukturyzowane zarządzanie tym ryzykiem.

W praktyce oznacza to obowiązek budowania polityk bezpieczeństwa łańcucha dostaw, prowadzenia due diligence dostawców, uwzględniania w umowach prawa do audytu, zasad dotyczących podwykonawców oraz obowiązków w zakresie zgłaszania incydentów. Co szczególnie istotne, odpowiedzialność spoczywa osobiście na organie zarządzającym — członkowie kierownictwa pozostają odpowiedzialni za zgodność nawet wtedy, gdy delegują zadania. Bezpieczeństwo łańcucha dostaw staje się więc zagadnieniem na poziomie zarządu.

Skala potencjalnych sankcji jest znacząca: dla podmiotów kluczowych kary mogą sięgnąć 10 mln euro lub 2% rocznego obrotu, dla podmiotów ważnych — 7 mln euro lub 1,4% obrotu^[6], a menedżerowie mogą zostać obciążeni karami indywidualnymi. Nowe przepisy przewidują też konkretne terminy wdrożenia systemów zarządzania bezpieczeństwem informacji oraz cykliczne audyty cyberbezpieczeństwa. Dla relacji OEM-EMS regulacja ta jest przełomowa: producent, który jako podmiot kluczowy odpowiada za swoich dostawców, musi mieć pewność, że jego partner EMS spełnia adekwatne standardy — a partner EMS, który potrafi to udokumentować, staje się dla niego naturalnym wyborem.

RODO i powierzenie przetwarzania danych

Tam, gdzie w grę wchodzą dane osobowe, relacja OEM-EMS może przybrać formę powierzenia przetwarzania w rozumieniu RODO. Producent najczęściej występuje jako administrator danych, a partner EMS — jako podmiot przetwarzający, działający na udokumentowane polecenie administratora. Wymaga to zawarcia umowy powierzenia (DPA), określenia zakresu i celu przetwarzania oraz zapewnienia adekwatnych środków technicznych i organizacyjnych. W praktyce dojrzały partner EMS dąży do minimalizacji przetwarzania danych osobowych klienta — ogranicza je do niezbędnej komunikacji projektowej — a zawarcie umowy DPA traktuje jako element ustaleń w ramach konkretnego projektu. To modelowy przykład współodpowiedzialności, w którym zakres obowiązków każdej ze stron wynika wprost z prawa i z umowy.

Normy ISO i standardy branżowe jako język wspólnej odpowiedzialności

Systemy zarządzania oparte na normach ISO dostarczają wspólnego, mierzalnego języka, w którym obie strony mogą opisać podział obowiązków. Norma ISO/IEC 27001 definiuje system zarządzania bezpieczeństwem informacji (SZBI) i jest dziś de facto standardem, którego OEM oczekują od dojrzałych partnerów EMS. Uzupełniają ją normy branżowe: ISO 9001 (zarządzanie jakością), ISO 13485 (wyroby medyczne, gdzie ochrona danych i identyfikowalność mają wymiar regulacyjny) oraz ISO 14001 (środowisko). Odporność na przestoje opisuje z kolei norma ISO 22301 dotycząca ciągłości działania, której metodyka pozostaje wartościowym punktem odniesienia niezależnie od statusu samego certyfikatu. W obszarze montażu standardy takie jak IPC-A-610 porządkują wymagania jakościowe, które pośrednio wspierają identyfikowalność i kontrolę procesu.

Partner EMS dysponujący dojrzałym zestawem systemów zarządzania dostarcza producentowi OEM audytowalny dowód dojrzałości procesowej, co radykalnie upraszcza wypełnienie obowiązków wynikających z NIS2. Assel działa w oparciu o certyfikaty ISO 9001, ISO 13485 i ISO 14001, utrzymuje plan ciągłości działania zgodny z podejściem normy ISO 22301, a wdrożenie systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001 znajduje się w końcowej fazie — z proponowanym zakresem obejmującym „usługi produkcji kontraktowej produktów elektronicznych i elektromechanicznych”.

Macierz odpowiedzialności: kto za co odpowiada

Sercem modelu współodpowiedzialności jest jasny podział zadań. Poniższa macierz porządkuje typowy rozkład obowiązków między producentem OEM a partnerem EMS. W praktyce każdy projekt wymaga indywidualnego dostosowania, ale poniższy układ stanowi punkt wyjścia.

Odpowiedzialność producenta OEM obejmuje przede wszystkim: określenie, które informacje stanowią tajemnicę przedsiębiorstwa i jak należy je klasyfikować; dostarczenie dokumentacji w bezpieczny sposób i w minimalnym niezbędnym zakresie (zasada wiedzy koniecznej); podpisywanie cyfrowe firmware i weryfikowalne przekazywanie obrazów; zdefiniowanie wymagań bezpieczeństwa w umowie i specyfikacji; oraz okresowy audyt partnera. To OEM pozostaje właścicielem ryzyka strategicznego i to on decyduje o poziomie ochrony adekwatnym do wartości produktu. Warto podkreślić, że nadzór nad samą dokumentacją klienta pozostaje po stronie klienta — partner EMS nadzoruje własną dokumentację oraz proces wprowadzania zmian w dokumentacji powierzonej.

Odpowiedzialność partnera EMS obejmuje z kolei: operacyjne zabezpieczenie środowiska, w którym dane są przetwarzane; segmentację sieci IT i OT oraz izolację stacji produkcyjnych; kontrolę dostępu fizycznego do hali i logicznego do systemów; bezpieczne przechowywanie i niszczenie dokumentacji zgodnie z ustaloną retencją; zarządzanie podwykonawcami i kontrolę ich dostępu do danych; identyfikowalność komponentów oraz reagowanie na incydenty i ich zgłaszanie zleceniodawcy w ustalonym czasie.

Obszary współdzielone — wymagające wspólnych ustaleń obu stron — to m.in.: klasyfikacja aktywów informacyjnych, procedura zarządzania zmianą, plan reagowania na incydenty (kto kogo i w jakim czasie informuje), zasady niszczenia danych po zakończeniu projektu oraz ćwiczenia ciągłości działania. To właśnie w obszarach współdzielonych rodzą się najgroźniejsze „szare strefy”, dlatego muszą być opisane najbardziej szczegółowo.

Praktycznym narzędziem do sformalizowania tego podziału jest macierz typu RACI (Responsible, Accountable, Consulted, Informed) uzgodniona wspólnie na etapie zawiązywania współpracy, w oparciu o wymagania klienta, jeszcze przed rozpoczęciem NPI. Dokument taki eliminuje domysły i staje się później podstawą audytu.

Model współodpowiedzialności w praktyce: podejście Assel

Teoria zyskuje wartość dopiero wtedy, gdy przekłada się na codzienne procesy. Poniżej pokazujemy, jak poszczególne warstwy modelu współodpowiedzialności wyglądają w praktyce w Assel — nie jako lista deklaracji, lecz jako konkretne mechanizmy operacyjne.

Bezpieczne przekazanie i przechowywanie dokumentacji

Punktem wyjścia jest sposób, w jaki dokumentacja projektowa trafia do partnera. Assel udostępnia klientom dedykowany kanał chmurowy do przekazywania specyfikacji, dzięki czemu wrażliwe pliki nie muszą wędrować niezabezpieczonymi drogami. Po stronie EMS dokumentacja przenoszona jest na zasoby dyskowe o ograniczonym dostępie, przyznawanym zgodnie z zasadą wiedzy koniecznej. Wgląd w specyfikację mają wyłącznie działy, które faktycznie potrzebują jej do wczesnej analizy zapytania i realizacji — inżynieria, sprzedaż, wyceny oraz zespół strategiczny. Taki rolowy model dostępu ogranicza krąg osób stykających się z własnością intelektualną klienta do niezbędnego minimum.

Segmentacja sieci i bezpieczeństwo fizyczne

Środowisko techniczne opiera się na rozdzieleniu stref sieciowych. Sieć biurowa jest odseparowana od sieci, w której pracują maszyny produkcyjne, a ruch gości obsługuje wydzielona sieć dla odwiedzających. Dzięki temu kompromitacja jednej strefy nie otwiera automatycznie dostępu do pozostałych.

Warstwę cyfrową uzupełnia rozbudowane bezpieczeństwo fizyczne. Dostęp do pomieszczeń kontrolują elektroniczne czytniki, a uprawnienia są przypisane grupom osób wyłącznie do tych stref, do których dana grupa powinna mieć wstęp. Obiekt i jego teren objęte są monitoringiem CCTV, a całość jest chroniona przez profesjonalną firmę ochroniarską w trybie 24/7. To praktyczne wypełnienie zasady, że bezpieczeństwo danych zaczyna się już przy drzwiach na halę.

Ochrona firmware — trzy modele współpracy

Firmware to jeden z najbardziej wrażliwych elementów projektu, dlatego sposób jego ochrony ustalany jest indywidualnie z klientem i zależy od konstrukcji procesu programowania. W praktyce Assel realizuje projekty w trzech wariantach, które doskonale ilustrują ideę współodpowiedzialności. W pierwszym firmware jest wgrywany bezpośrednio do urządzenia z zewnętrznej sieci klienta, a partner EMS nie ma do niego dostępu — pełna kontrola pozostaje po stronie OEM. W drugim programowanie odbywa się z dedykowanych nośników, które są ściśle kontrolowane i po użyciu przechowywane w zamykanych szafach. W trzecim firmware znajduje się na urządzeniach testujących, a poziom zabezpieczenia wynika ze sposobu, w jaki klient skonstruował te stanowiska. W każdym z wariantów granica odpowiedzialności jest jasno wyznaczona — i to jest sedno modelu.

Kontrola wolumenu i traceability — ochrona przed nadprodukcją

Jednym z najczęstszych obaw producentów OEM jest ryzyko produkcji „na boku” — wytworzenia sztuk poza zamówionym wolumenem. Assel adresuje je na kilku poziomach. System klasy MES nadzoruje każdą wyprodukowaną sztukę i na tej podstawie raportowane są zmontowane wyroby. Ilości w zleceniu są ustawiane pod konkretne zamówienie i produkcja rozpoczyna się dokładnie pod tę ilość. Tam, gdzie pozwala na to konstrukcja płytki PCBA lub produktu, każda sztuka otrzymuje indywidualny numer seryjny, co zapewnia pełną identyfikowalność. Uzupełnieniem jest ciągły proces inwentaryzacji, w którym weryfikowana jest zgodność ilości materiału zwracanego po produkcji. Ten zestaw mechanizmów sprawia, że rozbieżność między wydanym materiałem, liczbą wytworzonych sztuk a zamówieniem jest szybko wychwytywana.

Cykl życia danych: retencja, zwrot i usuwanie

Odpowiedzialność za dane nie kończy się wraz z ostatnią wyprodukowaną sztuką. Assel stosuje politykę retencji zróżnicowaną w zależności od rodzaju dokumentu, a w przypadku indywidualnych ustaleń z klientem wybrane dane mogą być przechowywane na odrębnych zasadach, dopasowanych do specyfiki projektu. Klient może zażądać zwrotu lub usunięcia dokumentacji — to kwestia uzgodnienia, którą można potwierdzić formalnie. Dzięki temu własność intelektualna nie „żyje” w środowisku partnera dłużej, niż to konieczne.

Reagowanie na incydenty, ciągłość działania i ład organizacyjny

Procedura zgłaszania naruszeń jest zdefiniowana dwutorowo: z jednej strony wynika z wymogów prawnych — dyrektywy NIS2 i opartej na niej nowelizacji ustawy o KSC — z drugiej podlega uzgodnieniom z klientem co do zakresu i terminów powiadomienia o incydencie dotyczącym jego danych. Ciągłość działania opiera się na planie zgodnym z metodyką normy ISO 22301, którego sposób działania jest utrzymywany operacyjnie. Za ład w obszarze bezpieczeństwa informacji i zgodności z RODO odpowiada jasno przypisana struktura: koordynację wewnętrzną prowadzi wyznaczona rola kierownicza, natomiast odpowiedzialność za komunikację zewnętrzną, w tym relacje z organem nadzorczym (UODO), spoczywa na zarządzie — co jest spójne z duchem NIS2, przenoszącym odpowiedzialność za cyberbezpieczeństwo na najwyższy szczebel zarządzania.

Poddostawcy i granice procesu

Zasada przenoszenia wymagań poufności i bezpieczeństwa na poddostawców jest w modelu współodpowiedzialności obowiązkowa. W przypadku Assel warto jednak zaznaczyć istotny fakt: procesy związane z montażem urządzeń elektronicznych realizowane są wewnętrznie i nie są delegowane na zewnątrz, co upraszcza łańcuch odpowiedzialności. Tam, gdzie dany proces z natury odbywa się poza zakładem — jak nakładanie powłoki Parylene — jest on realizowany po stronie klienta. Im krótszy i lepiej kontrolowany łańcuch, tym mniejsza powierzchnia ryzyka.

Studium przypadku: projekt z branży bezpieczeństwa

Najlepiej ideę współodpowiedzialności ilustruje realny, choć zanonimizowany przykład. Assel montuje urządzenia dla klienta z branży bezpieczeństwa, gdzie poufność i ochrona danych mają szczególne znaczenie. Podział odpowiedzialności jest tu doprowadzony do skrajności — i właśnie dlatego działa wzorcowo.

Urządzenia testujące klienta znajdują się w osobnej, wydzielonej sieci, do której partner EMS nie ma dostępu. Logowanie do komputerów klienta możliwe jest wyłącznie dla osób przez niego zatwierdzonych. Wszelkie zmiany oraz firmware są kontrolowane bezpośrednio przez klienta. Określone przez klienta nośniki danych niszczone są jedynie przez autoryzowane, zewnętrzne jednostki. W ramach operacji tego klienta Assel jest częścią jego procesu audytu i certyfikacji bezpieczeństwa na wysokim poziomie (EAL4+). Ten przykład pokazuje, że dojrzały model współodpowiedzialności nie polega na tym, by partner EMS „miał dostęp do wszystkiego”, lecz na tym, by każdy element był przypisany właściwej stronie — a granice były egzekwowane technicznie, a nie tylko zapisane w umowie.

Warstwa organizacyjno-prawna: umowy, NDA i audyty

Najlepsze zabezpieczenia techniczne pozostają kruche bez solidnej podbudowy organizacyjnej i prawnej. To w umowach i procedurach model współodpowiedzialności zyskuje moc wiążącą.

Podstawą jest umowa o zachowaniu poufności (NDA), choć sama w sobie nie wystarcza. Dojrzałe relacje OEM-EMS opierają się na rozbudowanych zapisach umowy głównej, które precyzują: klasyfikację i zakres powierzanych informacji, wymagane środki bezpieczeństwa, zasady angażowania podwykonawców, prawo do audytu, obowiązki w zakresie zgłaszania incydentów wraz z terminami, zasady retencji i niszczenia danych po zakończeniu współpracy oraz podział odpowiedzialności na wypadek naruszenia. W kontekście RODO dochodzi do tego odrębna umowa powierzenia przetwarzania.

Prawo do audytu to instrument, który przekształca deklaracje w weryfikowalne zobowiązania. Producent OEM powinien mieć możliwość — samodzielnie lub przez niezależny podmiot — sprawdzenia, czy partner EMS faktycznie stosuje uzgodnione środki. Coraz częściej rolę taką pełnią też certyfikaty niezależnych jednostek (np. ISO/IEC 27001), które ograniczają potrzebę każdorazowego audytu własnego.

Zarządzanie podwykonawcami zamyka pętlę odpowiedzialności. Partner EMS, który sam korzysta z poddostawców, musi zapewnić, że przenosi na nich adekwatne wymagania bezpieczeństwa — inaczej łańcuch dostaw pozostaje tak silny, jak jego najsłabsze, często niewidoczne dla OEM, ogniwo. Dyrektywa NIS2 czyni ten obowiązek szczególnie wyraźnym.

Due diligence: jak zweryfikować partnera EMS

Zanim producent OEM powierzy dane, powinien przeprowadzić rzetelną ocenę partnera. Poniższa lista kontrolna porządkuje najważniejsze obszary weryfikacji dostawcy usług produkcji kontraktowej elektroniki pod kątem bezpieczeństwa danych.

Warto sprawdzić: czy partner posiada certyfikat ISO/IEC 27001 lub równoważny system zarządzania bezpieczeństwem informacji (albo jest na zaawansowanym etapie jego wdrażania); jakie normy jakościowe i branżowe wdrożył (ISO 9001, ISO 13485, ISO 14001); jak realizuje ciągłość działania (np. w oparciu o ISO 22301); jak wygląda segmentacja jego sieci IT/OT i izolacja środowiska produkcyjnego; jakie stosuje mechanizmy kontroli dostępu fizycznego i logicznego; jak zarządza integralnością firmware i identyfikowalnością komponentów; jak kontroluje wolumen produkcji i zapobiega nadprodukcji; jaką ma politykę retencji i niszczenia danych; jak zarządza podwykonawcami; jak wygląda jego procedura reagowania na incydenty; oraz czy jest gotów zaakceptować prawo do audytu i adekwatne zapisy umowne. Odpowiedzi na te pytania szybko oddzielają partnerów, którzy traktują bezpieczeństwo jako element strategii, od tych, dla których pozostaje ono formalnością.

Cennym sygnałem jest również dojrzałość procesu wprowadzania nowego produktu (NPI). Partner, który potrafi rzetelnie odczytać i zweryfikować zdefiniowane przez klienta wymagania bezpieczeństwa — dotyczące klasyfikacji danych, podziału odpowiedzialności i reagowania na incydenty — a następnie konsekwentnie się do nich dostosować, demonstruje, że model współodpowiedzialności ma u niego charakter systemowy, a nie deklaratywny. Punktem wyjścia zawsze są wymagania klienta, a nie domysły co do jego intencji.

Wdrożenie modelu współodpowiedzialności krok po kroku

Poniższa sekwencja to model rekomendowany — w praktyce jej szczegółowość zależy od wymagań zdefiniowanych przez klienta, a punktem wyjścia zawsze jest ustalenie i uzgodnienie tych wymagań przed rozpoczęciem współpracy. Przekucie teorii w praktykę można ująć w sekwencję działań, którą warto przeprowadzić wspólnie na starcie każdego istotnego projektu.

Krok pierwszy to wspólna inwentaryzacja i klasyfikacja aktywów informacyjnych — ustalenie, jakie dane będą przetwarzane i jaki mają poziom poufności. Krok drugi to mapowanie przepływu danych przez cały cykl życia projektu, od przekazania dokumentacji, przez produkcję, po serwis i wycofanie. Krok trzeci to opracowanie macierzy odpowiedzialności (RACI) i przypisanie każdego obszaru do OEM, EMS lub jako obszaru współdzielonego. Krok czwarty to zapisanie ustaleń w umowie — z prawem do audytu, procedurą incydentalną i zasadami retencji. Krok piąty to wdrożenie i weryfikacja środków technicznych po stronie EMS oraz mechanizmów przekazywania danych po stronie OEM. Krok szósty to testy i ćwiczenia — od symulacji incydentu po audyt zgodności. Krok siódmy to cykliczny przegląd modelu, ponieważ zarówno technologia, jak i regulacje (a NIS2 jest tego najlepszym przykładem) nieustannie ewoluują.

Bezpieczeństwo w całym cyklu życia produktu

Odpowiedzialność za dane nie kończy się w momencie zejścia wyrobu z linii. Model współodpowiedzialności obejmuje pełny cykl życia projektu.

Jeszcze przed etapem wprowadzenia nowego produktu (NPI) — na etapie zawiązywania współpracy — klasyfikacja danych, podział odpowiedzialności i kanały wymiany dokumentacji powinny zostać uzgodnione i zweryfikowane jako część wymagań klienta. W fazie produkcji seryjnej, prowadzonej w ramach wymagań uzgodnionych przed jej rozpoczęciem, kluczowe są bieżąca kontrola dostępu, integralność firmware, kontrola wolumenu i identyfikowalność. Na etapie serwisu i utrzymania trzeba zadbać o bezpieczeństwo danych zwrotnych i diagnostycznych. Wreszcie w fazie końca życia (EOL) i zamknięcia projektu decydujące staje się bezpieczne, udokumentowane zniszczenie lub zwrot danych i dokumentacji — tak aby własność intelektualna nie „wyciekła” po zakończeniu współpracy. Każdy z tych etapów ma innego głównego odpowiedzialnego, ale wszystkie łączy ta sama zasada: brak niczyich obszarów.

Podsumowanie

Bezpieczeństwo danych w produkcji kontraktowej przestało być zagadnieniem czysto technicznym, a stało się elementem strategii i zgodności regulacyjnej. Model współodpowiedzialności w relacji OEM-EMS porządkuje tę złożoność, opierając się na jednej fundamentalnej zasadzie: każda warstwa ochrony ma jasno przypisanego właściciela, a obszary współdzielone są opisane najstaranniej. Twarde dane — 5,56 mln USD średniego kosztu naruszenia w przemyśle, do 125 000 USD za godzinę przestoju czy kary do 10 mln euro w reżimie NIS2 — pokazują, że stawką jest nie tylko reputacja, lecz przetrwanie biznesu.

Dla producenta OEM praktyczny wniosek brzmi: wybór partnera EMS to wybór poziomu ryzyka dla całej organizacji, dlatego dojrzałość w zakresie bezpieczeństwa danych, potwierdzona certyfikatami, mechanizmami operacyjnymi i gotowością do współodpowiedzialności, powinna ważyć równie mocno jak cena i jakość. Dla partnera EMS wniosek jest komplementarny: umiejętność udźwignięcia współdzielonej odpowiedzialności i udokumentowania jej audytowalnymi procesami to dziś jedna z najsilniejszych przewag konkurencyjnych. W Assel traktujemy ją jako integralną część usługi produkcji kontraktowej — od bezpiecznego przekazania specyfikacji, przez kontrolę wolumenu i firmware, po jasny podział ról aż do końca życia projektu.

Najczęściej zadawane pytania (FAQ)

Źródła i przypisy

1. IBM, „Cost of a Data Breach 2024” — sektor przemysłowy: średni koszt naruszenia 5,56 mln USD (wzrost o 18% r/r), 199 dni do wykrycia i 73 dni do opanowania. Źródło: ibm.com. ↩
2. IBM, „Cost of a Data Breach 2024” — szacowany koszt nieplanowanego przestoju w zakładach przemysłowych: do 125 000 USD za godzinę. Źródło: ibm.com/think/insights. ↩
3. ENISA (Agencja UE ds. Cyberbezpieczeństwa), raporty „Threat Landscape” — łańcuch dostaw jako jeden z kluczowych wektorów ataków. Źródło: enisa.europa.eu. ↩
4. Literatura naukowa nt. sprzętowych koni trojańskich i podrabianych komponentów, m.in. IEEE oraz ScienceDirect (np. „malicious implants in PCBs throughout the supply chain”). ↩
5. IBM, „Cost of a Data Breach 2024” — struktura przyczyn naruszeń w sektorze przemysłowym: 47% celowe ataki, 27% błąd ludzki, 26% awarie systemów. ↩
6. Dyrektywa NIS2 (UE) 2022/2555 oraz nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC); kary do 10 mln euro lub 2% obrotu (podmioty kluczowe) oraz 7 mln euro lub 1,4% (podmioty ważne). ↩