Geleceğe Hazır Makineler, Siber Güvenlikli Bileşenlerle Başlar

Siber Dayanıklılık Yasası (CRA EU 2024/2847), dijital bileşenlere sahip ürünler için zorunlu siber güvenlik gereklilikleri getirir. Yasanın amacı, ürünlerin tüm yaşam döngüleri boyunca güvenli bir şekilde geliştirilmesini, çalıştırılmasını, bakımının yapılmasını ve desteklenmesini sağlamaktır. 

Bu nedenle, makine üreticileri için siber güvenlik, ürün geliştirme, risk değerlendirmesi ve tedarikçi yönetiminin ayrılmaz bir parçası haline gelmektedir. 

Günümüzde çoğu modern makine, aşağıdakiler gibi dijital bileşenler içermektedir: 

• Sensörler ve aktüatörler 

• IO-Link cihazları ve IO-Link master'ları 

• Fieldbus ve Ethernet bileşenleri 

• Kamera sistemleri 

• Gömülü yazılım ve donanım yazılımı 

• Endüstriyel PC'ler 

Sonuç olarak, birçok makine CRA'nın kapsamına girer. Ayrıca, her makine üreticisi, özen yükümlülüğünün bir parçası olarak entegre bileşenlerin siber güvenlik risklerini dikkate almalıdır. 

Bir makine, aşağıdaki koşulların tümünün bir arada bulunması durumunda genellikle CRA kapsamına girer: 

• Dijital unsurlar içeriyorsa. 

• AB pazarında satışa sunulmuşsa. 

• Diğer cihazlar veya ağlarla doğrudan veya dolaylı olarak veri alışverişi yapıyorsa. 

Örneğin Ethernet, PROFINET, PROFIBUS, USB, Wi-Fi, Bluetooth, NFC, uzaktan bakım sistemleri, endüstriyel bilgisayarlar veya ağ geçitleri aracılığıyla kurulan dolaylı bir bağlantı bile yeterlidir. Doğrudan internet bağlantısı gerekli değildir. 

Bir makine verileri işliyor, depoluyor veya iletiyorsa, CRA'nın uygulanması muhtemeldir.

Hayır. Bu belgenin en son güncellendiği tarihte, halihazırda kurulmuş olan makinelerin değiştirilmesi genel olarak zorunlu değildir.

CRA, öncelikle CRA'nın yürürlüğe girmesinden sonra piyasaya yeni sürülen veya bu tarihten sonra önemli değişikliklere uğrayan dijital bileşenlere sahip ürünler için geçerlidir.

CRA, ancak 11 Aralık 2027 tarihinde tam olarak yürürlüğe gireceğinden, şu anda hiçbir üretici ürünleri için resmi CRA uygunluğu beyanında bulunamaz. 

Bu nedenle, "CRA-Ready" terimini kullanıyoruz; örneğin:

• Bir siber güvenlik risk değerlendirmesi yapılmış 

• IEC 62443 ile uyumlu güvenlik gereksinimleri uygulanmış 

• Güvenlik güncellemeleri planlanmış ve desteklenmektedir 

• Güvenli entegrasyon için yapılandırılmış dokümantasyon mevcuttur 

• Gelecekteki CRA gereklilikleri zaten dikkate alınmış 

• Güvenlik açığı bildirimleri için bir irtibat noktası olarak Ürün Güvenliği Olay Müdahale Ekibi (PSIRT) mevcuttur 

Sunduğumuz CRA-Ready ürünler, uzun vadeli güvenli entegrasyon için gerekli temeli şimdiden oluşturmaktadır. Bu sayede risk değerlendirmeleri, tedarikçi denetimleri ve gelecekteki uyumluluk belgeleri için gereken çaba azalır. 

Hayır, ortadan kaldırmaz. Makine üreticisi, genel sistemin üreticisi olmaya devam eder ve CRA-Ready ürünleri entegre ederken bile makinenin tamamının siber güvenlik risklerini değerlendirme sorumluluğunu üstlenir. Bu sorumluluk, resmi olarak CRA uyumlu ürünler kullanıldığında da devam eder.

CRA-Ready ürünleri ve daha sonra CRA uyumlu ürünler, Balluff gibi tedarikçiler sayesinde makine üreticilerine destek sağlar: 

• Ürünleri için güvenlik gereksinimlerini uygularlar 

• Güvenlik açıklarını izler 

• Güvenlik güncellemeleri sağlar 

• İlgili güvenlik bilgilerini belgeleme 

Bu bilgiler, makinenin siber güvenlik risk değerlendirmesi ve teknik dokümantasyonunun bir parçası olarak kullanılabilir. 

CRA, risk temelli bir yaklaşım. Her ürünün aynı güvenlik özelliklerine ihtiyacı yoktur. 

Gerekli önlemler, aşağıdakiler dahil olmak üzere çeşitli faktörlere bağlıdır:

• Ürünün işlevselliği 

• Bağlantı düzeyi 

• Çalışma ortamı 

• Beklenen hizmet ömrü 

• Siber saldırının olası etkisi 

Bu nedenle, bir IO-Link sensörü, bir IO-Link master, akıllı kamera veya yazılımdan farklı güvenlik önlemleri gerektirir. 

Güvenlik önlemleri, bir siber güvenlik risk değerlendirmesine dayalı olarak belirlenir. 

CRA ve Makine Yönetmeliği (20 Ocak 2027 tarihinde 2006/42/EC sayılı Makine Direktifinin yerini alacak olan), farklı hedefler gütse de birbirlerini tamamlar. 

Birçok siber güvenlik önlemi, Makine Yönetmeliği gerekliliklerine uyumu da desteklemektedir. 

Örnekler şunlardır: 

• Kontrol sistemlerinin korunması 

• Yazılım bütünlüğü 

• Tahrifata karşı koruma 

• Güvenli iletişim 

Ancak, CRA'ya uyum otomatik olarak Makine Yönetmeliğine uyumu garanti etmez. 

Bir güvenlik açığı ortaya çıktığında, Balluff mevcut önlemleri ve güncellemeleri CERT@VDE aracılığıyla bildirecektir 

Bir makine üreticisi, tesis üreticisi veya sistem entegratörü olarak, söz konusu güvenlik açığının belirli bir uygulamada istismar edilip edilemeyeceğini değerlendirmeli ve ek koruyucu önlemlerin gerekli olup olmadığını belirlemelisiniz. 

Makinenin genel sorumluluğu her zaman makine üreticisine aittir.

Balluff, müşterilerine aşağıdaki yollarla destek sağlar: 

• Güvenlik açığı bilgileri (CERT@VDE aracılığıyla CSAF formatında Güvenlik Bildirimleri) 

• Balluff güncelleme platformu aracılığıyla sağlanan güvenlik güncellemeleri 

• PSIRT iletişim seçenekleri 

• Koordineli bir güvenlik açığı bildirim süreci 

Test, güvenlik denetimi veya başka herhangi bir yolla ürünlerimizi veya yazılımlarımızı incelerken bir güvenlik açığı tespit ederseniz ve bu güvenlik açığı makinenizi veya sisteminizi etkiliyorsa, lütfen bunu doğrudan ürün Güvenliği Olay Müdahale Ekibimize'e doğrudan bildirin.

Güvenlik açığını PSIRT ekibimize bildirerek şunları sağlarsınız: 

• Sorunun gizli bir şekilde değerlendirilmesi 

• Olası düzeltme önlemlerinin koordinasyonu 

• Güvenlik bilgilerinin ve güncellemelerin sağlanması 

• Güvenlik açığının sorumlu ve koordineli bir şekilde ele alınması 

Her iki düzenleme de ürünlerin, makinelerin ve altyapının siber güvenliğinin güçlendirilmesine katkıda bulunur. Ancak, siber güvenliğin farklı alanlarını ele alırlar.