«Заявление PSTI нужно на этой неделе»: это документ или работа с доказательствами?

Сигналы для наблюдения

• Запрашивающая сторона может назвать точный тип, партию, модель или контролируемый вариант продукта для рынка Великобритании
• Изготовитель и запрашивающий документ импортёр или дистрибьютор не смешаны в одну юридическую роль
• Назван владелец доказательств по паролям, порядку сообщения об уязвимостях и установленному сроку поддержки

Представьте обычный запрос. В Telegram-группе производителя устройств, к которой у вас есть разрешённый доступ, появляется сообщение:

«Ритейлеру нужно заявление PSTI на этой неделе. Приложение такое же, как у модели для ЕС, настройку пароля уже тестировали. Можете просто выпустить документ?»

Руководителю по развитию бизнеса в консалтинговой компании по кибербезопасности подключаемых продуктов легко принять это за короткую работу по подготовке документа. Но для цены ещё слишком рано. В сообщении нет типа и партии продукта для рынка Великобритании, версий аппаратной части и ПО, юридического лица изготовителя, импортёра, выбранного основания для заявления, установленного срока поддержки и человека, который должен его подписать.

Это составной сценарий, а не реальный запрос клиента или результат оценки соответствия. Его ценность в коммерческой развилке: само заявление не определяет объём работ; объём определяет первая строка заявления, которую нечем подтвердить.

Такой руководитель обычно следит за разрешёнными группами производителей устройств, британских импортёров, отделов комплаенса розничных сетей и испытательных лабораторий. Если заметить сообщение на день позже, дело не только в позднем ответе. Проверка ритейлера может продолжиться, пока инженеры, юристы и импортёр считают, что недостающая запись находится у кого-то другого.

Сначала зафиксируйте продукт, потом оценивайте «выпуск заявления»

Британский режим безопасности потребительских подключаемых продуктов вступил в силу 29 апреля 2024 года. В правительственном руководстве для бизнеса выделены требования к паролям, публикации информации о порядке сообщения об уязвимостях и публикации минимального срока предоставления обновлений безопасности.

Заявление о соответствии — конкретный документ в рамках этого режима. Приложение 4 к Правилам 2023 года требует, в частности, указать:

• тип и партию продукта;
• наименование и адрес каждого изготовителя и, где применимо, каждого уполномоченного представителя;
• заявления о том, кем подготовлен документ, и о мнении изготовителя относительно выполнения применимых требований;
• установленный срок поддержки, который был актуален при первой поставке продукта изготовителем;
• подпись, имя и должность подписанта;
• место и дату выпуска заявления.

Фразой «приложение такое же, как у модели для ЕС» эти строки не заполнить. Другой радиомодуль, ветка прошивки, сценарий первичной настройки или брендированный вариант могут разорвать связь между документом и подтверждающими материалами.

В первом ответе достаточно открыть две развилки:

1. Какой именно продукт поступит на рынок Великобритании? Запросите коммерческую модель, тип и партию либо другой контролируемый вариант, ревизию аппаратной части, версии прошивки и приложения.
2. Кто обращается и в какой юридической роли? Отдельно зафиксируйте изготовителя, уполномоченного представителя, если он есть, британского импортёра и дистрибьютора или ритейлера, который установил срок.

«Участник цепочки поставок» здесь означает юридическое лицо с определённой ролью, а «партия» — производственную партию, идентифицирующую продукт в заявлении. Если смешать эти понятия, документ можно привязать не к тому продукту или не к той компании.

Идите по первой неподтверждённой строке

Когда продукт и роли установлены, положите проект заявления рядом с досье на продукт и проверьте строку за строкой. Дальше запрос обычно уходит в одну из четырёх веток.

Ветка A: у каждой строки заявления есть актуальный источник

Модель и партия совпадают. Данные изготовителя актуальны. Выбраны применимые требования из Приложения 1 или основание для признания соответствия. Установленный срок поддержки опубликован и относится именно к этому продукту. Ответственный подписант может проследить каждое утверждение до проверенных записей.

Это работа с документом: проверить исходные материалы, подготовить или исправить заявление, записать допущения и вернуть контролируемую версию на утверждение ответственной организации. Близкий срок сам по себе не превращает такую работу в новую оценку безопасности.

Ветка B: формулировка понятна, но исходной записи нет

Это устранение пробела в доказательствах. Часто отсутствует одно из трёх:

• Доказательства по паролям: слова «настройку протестировали» не показывают, проверялись ли для британской версии сброс к заводским настройкам, общие пароли по умолчанию или учётные данные, выводимые из публичных идентификаторов.
• Сообщение об уязвимостях: внутренний адрес поддержки не равен опубликованной инструкции о том, как сообщить о проблеме безопасности.
• Установленный срок поддержки: внутренний план развития не подтверждает срок, опубликованный для продукта, его начало и окончание или владельца, который его утвердил.

В предложение нужно включить поиск владельца доказательств, проверку или создание недостающей записи, требуемую публикацию и восстановление связи с досье на продукт. Проект заявления появится после этого, а не в начале.

Ветка C: никто не может доказать, какой вариант получит ритейлер

Это восстановление досье на продукт. Сопоставьте британскую товарную позицию с эталонным продуктом на уровне характеристик, которые меняют вывод о безопасности: аппаратная часть, прошивка, сопутствующее приложение, создание учётных данных, сервис обновлений и юридическое лицо изготовителя.

Материалы по радиооборудованию ЕС или Cyber Resilience Act могут объяснить инженерное решение, но они не устанавливают автоматически точную идентичность британского продукта и не создают за него заявление PSTI.

Ветка D: имеющиеся материалы показывают конфликт конструкции с требованием

Если продукт использует недопустимую схему паролей по умолчанию, не имеет работающего порядка сообщения об уязвимостях или у изготовителя нет утверждённого срока поддержки, это уже не наведение порядка в документах. Нужны инженерные или управленческие исправления и, где необходимо, повторные испытания.

Консультант может систематизировать и критически проверить доказательства. Он не может превратить конфликт конструкции в соответствие, отредактировав формулировку заявления.

Разделите запрос по юридической роли заявителя

Режим устанавливает разные обязанности для изготовителей, импортёров и дистрибьюторов; эти роли не взаимозаменяемы. Руководство OPSS для бизнеса помогает проверить отправную точку для каждой роли.

Если обращается изготовитель, найдите владельца доказательств по продукту и человека, который вправе утвердить заявление изготовителя. Если обращается импортёр, сначала получите заявление изготовителя и убедитесь, что оно относится к импортируемому продукту; не записывайте импортёра в изготовители только ради заполнения шаблона. Если ритейлер или дистрибьютор просит «загрузить документ», рассматривайте это как условие поставки и проследите запрос до изготовителя, импортёра и точного продукта.

Приложение 4 допускает указание, что заявление подготовлено изготовителем или от его имени. Это не переносит исходные утверждения о безопасности на консультанта. В документе должна быть указана должность подписанта, а ответственная организация должна знать, какая запись подтверждает каждое утверждение.

Такой разбор предотвращает распространённую ошибку продаж: предлагать фиксированную цену до того, как понятно, владеет ли заказчик нужными материалами. Одинаковая фраза может означать проверку документа, восстановление досье или инженерный проект, срок которого нельзя обещать до первой технической проверки.

Верните заказчику записку с двумя маршрутами

Руководителю по развитию бизнеса не нужно диагностировать весь продукт в групповом чате. Короткая записка покажет развилку:

Маршрут 1 — проверка заявления: точный тип и партия продукта, данные изготовителя, реестр доказательств, установленный срок поддержки и предполагаемый подписант доступны. Мы проверяем записи и готовим контролируемый проект.

Маршрут 2 — устранение пробелов в доказательствах: один или несколько входных материалов отсутствуют либо противоречат друг другу. Сначала сопоставляем вариант продукта с неподтверждённым требованием, затем определяем, кто должен подготовить запись, публикацию, испытание или инженерное исправление до составления заявления.

Если уже видно, что конструкция противоречит требованию, добавьте третью строку: работа над заявлением откладывается до устранения технической проблемы и уточнения затронутых версий.

На исходное сообщение можно ответить конкретно:

«Пришлите точную модель и партию для рынка Великобритании, версии аппаратной части, прошивки и приложения, наименования изготовителя и импортёра, текущий протокол проверки паролей, публичную страницу для сообщений об уязвимостях, опубликованный срок поддержки и предполагаемого подписанта. После этого станет понятно, нужна проверка заявления или устранение пробелов в доказательствах».

Это не требование сразу составить идеальное техническое задание. Ответы могут прийти частями: один человек знает срок ритейлера, другой — модель, а инженер позднее присылает страницу со сроком поддержки. Пока источник не появился, неизвестное должно оставаться неизвестным.

Решите, требует ли сообщение немедленной реакции

Срочная фраза превращается в полезный коммерческий Signal, когда последующие сообщения добавляют как минимум три элемента: идентифицируемый продукт для рынка Великобритании, реальный этап поставки и человека с доступом к досье. Срок без продукта — шум. Модель без владельца доказательств — работа по первичному выяснению. Модель, требование ритейлера и доступный владелец продукта вместе оправдывают быстрый квалификационный звонок, даже если окончательный объём ещё не известен.

В Telegram-группах, которые пользователь намеренно подключил и имеет право просматривать, TOP Prospect может сохранить связанные фрагменты и их источники, а затем поднять объединённого кандидата в очереди на проверку. Исследование закрытой прошивки, подтверждение защитных механизмов, связь с автором, подписание заявления и вывод о соответствии остаются задачами консультанта и ответственной организации, а не слоя обнаружения информации.

После первичной квалификации в карточке продажи должна стоять одна из четырёх пометок: проверка документа, восстановление досье, устранение пробелов в доказательствах или инженерные исправления. Если отправитель предоставил точный продукт и подтверждение для каждой строки, оценивайте документную работу. Если первый пробел звучит как «мы никогда не публиковали срок поддержки», оценивайте устранение именно этого пробела.

Фраза «заявление нужно на этой неделе» задаёт срочность. Первая неподтверждённая строка заявления задаёт объём работ.

Источники и дополнительное чтение

• Правительство Великобритании: правила безопасности потребительских подключаемых продуктов, обновлено 17 марта 2025 года↗
• Правила 2023 года о безопасности продуктов и телекоммуникационной инфраструктуры (требования безопасности к соответствующим подключаемым продуктам)↗
• OPSS: руководство для бизнеса по режиму безопасности продуктов Великобритании, опубликовано 23 апреля 2024 года↗

ИССЛЕДОВАНИЯ И ОПРЕДЕЛЕНИЯ

Как обнаруживается Signal, заслуживающий внимания

Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.

Открыть методику и определения →