A jövőbiztos gépek alapja a kiberbiztonságos alkatrészek használata

A kiberbiztonsági törvény (CRA EU 2024/2847) kötelező kiberbiztonsági követelményeket vezet be a digitális elemekkel rendelkező termékekre vonatkozóan. Célja annak biztosítása, hogy a termékeket teljes életciklusuk során biztonságosan fejlesszék, üzemeltessék, karbantartják és támogassák. 

A gépgyártók számára a kiberbiztonság így a termékfejlesztés, a kockázatértékelés és a beszállítói menedzsment szerves részévé válik. 

A mai modern gépek többsége tartalmaz digitális alkatrészeket, például: 

• Érzékelők és működtetők 

• IO-Link eszközök és IO-Link masterek 

• Fieldbus és Ethernet alkatrészek 

• Kamerarendszerek 

• Beágyazott szoftverek és firmware-ek 

• Ipari PC-k 

Ennek eredményeként számos gép a CRA hatálya alá tartozik. Ezen felül minden gépgyártónak gondossági kötelezettsége részeként figyelembe kell vennie az integrált alkatrészek kiberbiztonsági kockázatait. 

Egy gép általában akkor tartozik a CRA hatálya alá, ha az alábbi feltételek együttesen teljesülnek: 

• Digitális elemeket tartalmaz. 

• Az EU piacán forgalomba hozták. 

• Közvetlenül vagy közvetve adatcserét folytat más eszközökkel vagy hálózatokkal. 

Még a közvetett kapcsolat is elegendő, például Ethernet, PROFINET, PROFIBUS, USB, Wi-Fi, Bluetooth, NFC, távkarbantartási rendszerek, ipari számítógépek vagy átjárók révén. Közvetlen internetkapcsolatra nincs szükség. 

Ha egy gép adatokat feldolgoz, tárol vagy továbbít, akkor valószínűleg a CRA hatálya alá tartozik.

Nem. A dokumentum legutóbbi frissítésének időpontjában általában nincs szükség a már telepített gépek cseréjére.

A CRA elsősorban azokra a digitális elemekkel rendelkező termékekre vonatkozik, amelyeket a CRA bevezetése után újonnan hoznak forgalomba, vagy amelyek ezen időpont után jelentős módosításon esnek át.

Mivel a CRA csak 2027. december 11 -énlép teljes mértékben hatályba, jelenleg egyetlen gyártó sem nyilatkozhat a termékek hivatalos CRA-megfelelőségéről. 

Ezért a „CRA-Ready” azokat a termékeket jelöljük, amelyeknél például:

• kiberbiztonsági kockázatértékelést végeztek 

• Az IEC 62443 szabványnak megfelelő biztonsági követelményeket megvalósítottak 

• A biztonsági frissítések tervezése és támogatása biztosított 

• Rendelkezésre áll a biztonságos integrációhoz szükséges strukturált dokumentáció 

• A jövőbeli CRA-követelményeket már figyelembe vették 

• A sebezhetőségek bejelentésére szolgáló kapcsolattartó pontként rendelkezésre áll egy termékbiztonsági incidenskezelő csapat (PSIRT) 

Az általunk kínált CRA-kompatibilis termékek máris megteremtik az alapot a hosszú távú biztonságos integrációhoz. Ez csökkenti a kockázatértékelésekhez, a beszállítói auditokhoz és a jövőbeli megfelelőségi dokumentációhoz szükséges erőfeszítéseket. 

Nem, nem váltja ki. A gépgyártó továbbra is a teljes rendszer gyártója marad, és felelős a teljes gép kiberbiztonsági kockázatainak értékeléséért, még akkor is, ha CRA-Ready termékeket integrál. Ez a felelősség akkor is fennmarad, ha hivatalosan CRA-megfelelő termékeket használ.

A CRA-Ready termékek, majd később a CRA-kompatibilis termékek is támogatják a gépgyártókat olyan beszállítóknak köszönhetően, mint a Balluff: 

• biztonsági követelményeket hajtanak végre termékeikre vonatkozóan 

• Figyelemmel kísérik a sebezhetőségeket 

• Biztonsági frissítéseket biztosítanak 

• A releváns biztonsági információk dokumentálása 

Ezek az információk felhasználhatók a gép kiberbiztonsági kockázatértékelésének és műszaki dokumentációjának részeként. 

A CRA kockázatalapú megközelítést. Nem minden termék igényel ugyanazokat a biztonsági funkciókat. 

A szükséges intézkedések több tényezőtől függenek, többek között:

• A termék funkcionalitása 

• A hálózati összeköttetés mértéke 

• A működési környezet 

• A várható élettartam 

• A kibertámadás potenciális hatása 

Ezért az IO-Link érzékelő más biztonsági intézkedéseket igényel, mint egy IO-Link vezérlő, egy intelligens kamera vagy egy szoftver. 

A biztonsági intézkedéseket a kiberbiztonsági kockázatértékelés alapján határozzák meg. 

A CRA és a gépekről szóló rendelet (amely 2027. január 20-án váltja fel a 2006/42/EK gépekről szóló irányelvet) eltérő célokat követ, de kiegészíti egymást. 

Számos kiberbiztonsági intézkedés elősegíti a gépekről szóló rendelet követelményeinek való megfelelést is. 

Példák: 

• A vezérlőrendszerek védelme 

• A szoftver integritása 

• A manipuláció elleni védelem 

• Biztonságos kommunikáció 

A CRA betartása azonban nem biztosítja automatikusan a gépekről szóló rendelet betartását. 

Amikor egy sebezhetőségről tudomást szereznek, a Balluff a CERT@VDE-n keresztül tájékoztatja a rendelkezésre álló kockázatcsökkentő intézkedésekről és frissítésekről 

Gépgyártóként, üzemgyártóként vagy rendszerintegrátorként Önnek kell értékelnie, hogy a sebezhetőség kihasználható-e az adott alkalmazás keretében, és el kell döntenie, hogy szükségesek-e további védelmi intézkedések. 

A teljes gépért minden esetben a gépgyártó viseli a felelősséget.

A Balluff az alábbiak révén támogatja ügyfeleit: 

• Biztonsági résre vonatkozó információk (CSAF formátumú biztonsági tanácsok a CERT@VDE-n keresztül) 

• A Balluff frissítési platformján keresztül biztosított biztonsági frissítések 

• PSIRT kapcsolattartási lehetőségek 

• Egy összehangolt sebezhetőségi közzétételi folyamat 

Ha tesztelés, biztonsági ellenőrzés vagy bármilyen más módon sebezhetőséget azonosít valamely termékünkben vagy szoftverünkben, és ez a sebezhetőség hatással van a gépre vagy a rendszerre, kérjük, közvetlenül jelentse be a Termékbiztonsági Incidenskezelő Csoportunknak nek.

A sebezhetőség PSIRT-ünknek történő bejelentésével lehetővé teszi: 

• A probléma bizalmas értékelését 

• A lehetséges javító intézkedések összehangolását 

• Biztonsági információk és frissítések rendelkezésre bocsátása 

• A sebezhetőségek felelősségteljes és összehangolt kezelését 

Mindkét rendelet hozzájárul a termékek, gépek és infrastruktúra kiberbiztonságának erősítéséhez. Ugyanakkor a kiberbiztonság különböző területeit érintik.