hogyan akadályozzák meg, hogy valaki feltörje vagy hamisítsa a termékútlevél-adataimat

A biztonság a tervezésben rejlik, nem később hozzáadott kiegészítésként

A digitális termékúti útlevél úgy épül fel, hogy az adatokat nem lehet észrevétlenül módosítani, és egyértelmű, hogy ki milyen információkat szolgáltatott. Az ESPR előírja, hogy a digitális termékúti útlevél technikai szempontból úgy kerül kialakításra, hogy az adatok forrása megállapítható, a módosítások nyomon követhetők az azokat végrehajtó félhez, és az adatok módosításához való hozzáférés csak az erre jogosultak számára engedélyezett. Ez nem egy külön biztonsági réteg, amelyet egy platform felülre helyez, hanem az útlevél magában foglalt alapvető követelmény: mindegyik útlevél rögzített, egyedi kapcsolattal rendelkezik a termékhez, és ez a kapcsolat — beleértve annak történetét is, hogy mit tartalmazott — ellenőrizhetőnek kell lennie.

Kire vonatkozik, és mi nem tartozik ide

Ez a követelmény az útlevél egészére vonatkozik: arra, hogy az adatokat hogyan tárolják, ki módosíthatja őket, és hogyan nyomon követhető, hogy mit mikor adtak meg. Tehát nem arról van szó, hogy az útlevél "hackerálható-e" olyan értelemben, hogy a visszaélésnek minden formáját technikai lehetőséggel lehetetlenné tették — ezt az garanciát egyik rendszer sem adja, és az ESPR sem ígéri azt. Az jogosulatlan hozzáféréssel szembeni védelmet és a nyomon követhetőség nélküli manipulációval szembeni védelmet jelenti. Fontos azt is megkülönböztetni: az útlevélben lévő adatok biztonsága más kérdés, mint az, hogy valaki hogyan fér hozzá az útlevélhez. Ez utóbbi a a termékre helyezett QR-kód és adott esetben a GS1 Digital Link a koppintás technikai standardjaként keresztül történik. Az a biztonság, amelyről ez a cikk szól, tehát nem a QR-kódban rejlik, hanem az azt tartalmazó rendszerben.

Ezenkívül nem tartozik ide az a kérdés, hogy ki felelős tartalmilag az adatok helyességéért. Egy biztonságos rendszer megakadályozza, hogy egy jogosulatlan harmadik fél valamit módosítson; nem akadályozza meg, hogy az adatokat szolgáltató fél hibát követjen el. Erről a témáról — egy már közzétett útlevélben lévő hiba — egy hibás közzétett útlevél módosítása.

Még nincs végleges dátum, de irány igen

azt, hogy ezek a követelmények mikor kerülnek konkrét megvalósításra a ruházat és textil terén, az attól függ, hogy az Európai Bizottság ezt a termékkategóriát milyen delegált aktusban szabályozza. Ez az aktuális munkaprogram szerint 2027-ben várható, a 80% vagy azt meghaladó textilrostból álló ruházkodás az első kategória. A digitális termékúti útlevél — és ezzel a biztonság gyakorlati követelményeinek is — kötelezővé válásának pontos időpontja még nem rögzített. Az azonban már rögzített, hogy az ESPR-ben maga a keret: az útlevél követelményeire és technikai tervezésére vonatkozó cikkek alapként szolgálnak, a delegált aktus pedig termékkategóriánként részletesebben kitölt. Amint ezt az aktust közzéteszik, ezt az oldalt frissítik az akkor érvényes dátummal.

Mit jelent ez gyakorlatban egy útlevél felépítésében

Az első lépés annak tudatában végezni el, hogy az adatok forrása az útlevél rendszerében egy rögzített helyet foglal el: az útlevélben lévő információ minden darabjáról megállapítható, hogy ki szolgáltatta azt és mikor. Ez azt jelenti, hogy egy ruhaiparág vagy importőr, amely adatokat ad át az útlevelet összeállító félnek, nem kell külön aggódnia az adatok manipulációval szembeni technikai védelme miatt — az az útlevél tervében rejlik, nem abban, amit az adatszolgáltató fél hozzáad. Ahol azonban odafigyelésre szükség van, az a saját folyamata: hogyan kerülnek az adatok megadásra és vajon az a folyamat maga ellenőrizható-e. Aki fontolgatja, hogy az adatokat közvetlenül a saját vállalati rendszeréből vezesse keresztül, például az útlevelet egy ERP- vagy készletrendszerhez csatolja, annak jól van, ha megnézi, hogy az illesztés maga hogyan van biztosítva — mivel egy szivárgás abban a végén szétrombolja az útlevél megbízhatóságát éppúgy, mint az útlevélbeli gyengeség.

Egy második pont, amelyet szem előtt kell tartani: a hamisítás elleni védelemre vonatkozó igény szorosan kapcsolódik ahhoz a kérdéshez, hogy az adatoknak milyen hosszú ideig kell elérhetőnek és megbízhatónak maradniuk. Ennek a témának külön válasza van meddig kell egy passzusnak elérhetőnek maradnia — ugyanis a biztonság nem egy olyan dolog, amely közzétételkor egyszer rendben van, hanem olyan dolog, amely a passzus teljes futamideje alatt működőképes kell, hogy maradjon.

A jogi alap: az ESPR 10. és 11. cikke

Ezek a követelmények az ESPR (az Európai Unió 2024/1781 rendelete) 10. cikkéből erednek, amely a digitális termékpasszus általános követelményeit határozza meg, és ugyanezen rendelet 11. cikkéből, amely kifejezetten a passzus műszaki kialakítására és működésére vonatkozik. Ezek a cikkek együttesen keretrendszert nyújtanak, amelyen belül az adatok eredete, a hozzáférés-ellenőrzés és a változások nyomon követhetősége szabályozott. A pontos műszaki megvalósítás — mely szabványok, mely protokollok — a Bizottság által termékenként elfogadott delegált és végrehajtási jogi aktusok során kerül további kidolgozásra.

Aki már most felkészül egy termékpasszusra, a legjobban az alapokkal kezdheti: biztosítson, hogy minden termék egyedi azonosítási kód megkapja-e, és vizsgálja meg, hogy mely adatok fognak a Termékpasszusok európai nyilvántartásába kerülni — ugyanis a passzus biztonsága az alapul szolgáló szerkezetre épít.

Ennek az alapja

Maga a rendelet az EUR-Lex oldalon érhető el. Minden megállapítás után hivatkozunk; nem kell nekünk hinnie.

Mit kell konkrétan tennie

Mit várnak önnel

Az adatokhoz való hozzáférés helyes beállítása

Az ESPR (az Európai Unió 2024/1781 rendelete) 10. cikke megkülönböztet az adatok között, amelyek mindenki számára hozzáférhetőek, és az adatok között, amelyek csak meghatározott felek, például felügyeleti hatóságok vagy a lánc további szereplői számára szántak. A 10–100 fős vállalat számára ez a gyakorlatban azt jelenti, hogy nem minden információ, amely egy termékről létezik, látható kell, hogy legyen a fogyasztó számára, aki beszkenneli a QR-kódot. Aki összeállítja a passzust, jelzi, hogy mely adatok nyilvánosak és mely adatok hozzáférése korlátozott — ez az osztályozás nem egy technikai rendszerben rögzített, hanem az előadott adatokból adódik.

Biztosítani, hogy az adatok észrevétlenül ne tudjanak megváltozni

Az ESPR 11. cikke előírásokat ír elő a digitális termékpasszus műszaki kialakítására és működésére, beleértve az abban szereplő adatok megbízhatóságát. Ez közvetlenül érinti azt a kérdést, hogy valaki később hozzányúlhat-e egy passzushoz. Egy márka vagy importőr számára ez azt jelenti, hogy az egyszer előadott és közzétett adatoknak nyomon követhetőnek kell maradniuk az adatok forrásáig és az előadás időpontjáig. A későbbi módosítás tehát nem az "adatfájl módosítása", hanem egy új, nyomon követhető verzió kérdése.

Feljegyezni, hogy ki mely adatokat adta elő

Egy harmadik praktikus elvárás, amely ugyanebből az artikulumból adódik, hogy nyilvánvalónak kell lennie, hogy ki mely adatokat adta elő és mikor. A több márkát, privát labeleket vagy több gyártót egy Bt. alatt működtető vállalatok számára ez azt jelenti, hogy az előadásra vonatkozó adminisztrációt — ki küldött milyen tanúsítványt, milyen összetételt, milyen mosási útmutatót — rendben kell tartani. Ez nem csak egy kérdés a hackerek elleni biztonságról, hanem a bizonyíthatóságról is: ha egy passzus helytelen bizonyul, nyomon lehet követni, hogy az információ honnan származott.

Annak megelőzése, hogy a passzus utánozható céllá váljon

Az "valaki meghamisíthatja-e az én passzusomat" kérdés gyakran nem magára a passzusra vonatkozik, hanem az adathordozóra: a ruhadarabon lévő QR-kódra. Egy olyan QR-kód, amely egyszerűen egy linkre mutat, másolható egy meghamisított termékre. Az, hogy az adathordozó hogyan kerül felhelyezésre és milyen kapcsolatot teremt a termék egyedi azonosságával, szintén közrehatározza, hogy mennyire nehéz ezt megtenni. Az a mód, ahogyan a kód a ruhadarabra kerül, további részleteket tartalmaz az oldalon hogyan kerül a QR-kód a szövettermék termékalapú útlevéléhez.

Ahol hibák történnek a gyakorlatban

Egy gyakran előforduló helyzet: egy vállalat egy szállítót vagy külső irodát bíz meg a passzport kitöltésével, de maga nem rendelkezik másolattal arról, hogy pontosan mit szállítottak be. Ha később kérdés merül fel az adatok helyességével kapcsolatban, már nem lehet rekonstruálni, hogy ki adta meg az adatot, és milyen dokumentum alapján.

Egy második helyzet akkor keletkezik, amikor egy termelési sort módosítanak — más a szálösszetétel, más a mosási utasítás — de a meglévő passzportot nem frissítik. A passzport akkor online marad elavult információval, ami hamisításnak tűnhet, holott valójában egy kezelési hiba. Ez felveti a kérdést, hogy hogyan lehet korrigálni egy már publikált passzportban szereplő hibát, amely részletesebben leírva van az oldal alatt. hiba felfedezése egy közzétett termékpasszutban.

Egy harmadik helyzet: egy QR-kódot a termékről függetlenül nyomtatnak egy olyan címkére, amely könnyen eltávolítható és másik ruhadarabra helyezhető. A kód és a konkrét termék egyedi azonosítása közötti erős kapcsolat nélkül a hamisítás egyszerűen egy címke felülragasztásával elősegített. A termékek egyedi, nem átruházható azonosítása során követendő eljárásokat az oldal alatt ismertetik. minden terméknek egyedi azonosító kódot adni.

Egy negyedik helyzet olyan vállalatoknál fordul elő, amelyek saját magukat készítenek egy csatolást az ERP-rendszer és a passzport között, anélkül, hogy egyértelműen rögzítenék, hogy a szervezeten belül ki jogosult az adatok módosítására. Ha több alkalmazott irányítás nélkül írhat az alapul szolgáló rendszerbe, egy olyan kockázat áll elő, amely nem kívülről érkezik, hanem belülről. Aki saját rendszer csatolását fontolgatja, az oldal alatt több információt talál az e tekintetben figyelembe veendő pontokról. a termékpasszportot saját ERP- vagy készletkezelő rendszerhez csatolni.

Egy ötödik helyzet: egy vállalat beszünteti a kollekciót, vagy másik partnerre vált, és senki sem gondol arra a kérdésre, hogy mi történik a már publikált passzportokkal. Egy olyan passzport, amely már nem kerül karbantartásra, de online marad, vonzóbb cél a visszaélésre, mint egy aktívan kezelt passzport.

Mit rögzíthet

A szervezeten belül (vagy egy külső fél nálán) felhatalmazott személyek jegyzéke, akik jogosultak az adatok benyújtására vagy módosítására, valamint az a dátum, amikor az ilyen felhatalmazás megadásra került.
A passzport kapcsán benyújtott összes dokumentum másolata — tanúsítványok, összetételi nyilatkozatok, mosási utasítások — a benyújtás dátumához és a benyújtó fél nevéhez csatolva.
Egy rögzített eljárás arra az esetre, ha egy publikált passzportban hiba található: ki kérelmezhet módosítást, és hogyan kerül dokumentálásra a módosítás.
Megállapodások szállítókkal vagy gyártókkal arról, hogy ki felelős az adatok mely részének helyességéért, különösen akkor, amikor egy termék több termékpasszport alatt esik.
A termékvariánsonként — méret, szín, összetétel — egy jegyzék, amely megmutatja, hogy melyik egyedi azonosító lett hozzárendelve, így később ellenőrizhető, hogy egy kód a helyes termékhez tartozik-e; lásd még az oldalt. hogy minden méret és szín saját termékpasszuszt kap-e.
Egy rögzített döntés arról, hogy mi történik a passzportokkal az üzleti tevékenység vagy márka beszüntetésekor, hogy ez ne ad-hoc módon legyen eldöntve abban a pillanatban, amikor ez felmerül.

Ez nem jogi tanácsadás. Ez az oldal általános információt nyújt az ezzel az platformmal kapcsolatos szabályozásról. Nem ismerjük az Ön helyzetét. Amennyiben kétségei vannak az Ön helyzetét illetően, forduljon ügyvédhez vagy a megfelelő felügyeleti szervhez.

Mesterséges intelligenciával írva a fenti források alapján, és az ember által ellenőrizve 2026-09-05 napján. Nincs benne hiba? Jelezze nekünk — a javításokat előnyben részesítjük.