Zintegrowane bezpieczeństwo

Pracuję jako Product Security Officer w zespole, na którym spoczywa ogromna odpowiedzialność. Cyberbezpieczeństwo od dawna stanowi kluczowe wyzwanie dla przemysłu przetwórczego i z każdym dniem zyskuje na znaczeniu. Zastosowanie inteligentnych czujników w zakładach przetwórczych przynosi ogromne korzyści, ponieważ umożliwia pełną integrację urządzeń obiektowych, dzięki czemu operatorzy mają lepszy wgląd w procesy, a więc większe możliwości ich optymalizacji. Postęp ten ma jednak swoją ciemną stronę, gdyż stwarza większe możliwości ataku dla cyberprzestępców, którzy są coraz bardziej przebiegli. Właśnie dlatego zatrudniamy ekspertów ds. cyberbezpieczeństwa, aby zapewnić naszym klientom maksymalny poziom bezpieczeństwa.

Dotyczy to także czujników, ponieważ każdy czujnik z interfejsem cyfrowym jest potencjalnym celem cyberataków. Aby zapobiegać takim atakom, stosujemy zasadę "zintegrowanego bezpieczeństwa", która oznacza, że w Endress+Hauser kwestie bezpieczeństwa uwzględniamy już na etapie opracowania oprogramowania i projektowania urządzeń, a potem kontynuujemy ją przez cały cykl życia produktu. Ponadto stale udostępniamy aktualizacje oprogramowania, aby zapewnić naszym produktom najwyższy możliwy poziom ochrony.

Nasza strategia, wdrażana już od etapu projektowania produktu, polega na spojrzeniu przez pryzmat ryzyka na kwestię dostępu różnych grup pracowników do poszczególnych funkcji. Na przykład w browarze wyposażonym w nasze czujniki piwowarzy muszą znać zawartość cukru i alkoholu w piwie, muszą więc mieć możliwość przeglądania wskazań wartości zmierzonych przez przyrządy. Nie muszą oni jednak mieć pełnego dostępu, który pozwalałby im na zmianę ustawień czujników. Tego rodzaju uprawnienia są słusznie zarezerwowane dla personelu serwisowego.

Wykorzystując w ten sposób kontrolę dostępu opartą na przydzielaniu indywidualnych uprawnień, możemy zmniejszyć ryzyko ataków. Zabezpieczenie przed nieautoryzowanymi zmianami nie musi być wyłącznie cyfrowe. W wielu przyrządach można je również realizować za pomocą blokady sprzętowej – przełącznika ręcznego. Podczas opracowywania produktów przeprowadzamy również testy penetracyjne podczas których, wcielając się w role hakerów, próbujemy złamać zabezpieczenia naszych produktów. Te symulowane cyberataki pozwalają na identyfikację potencjalnych słabych punktów i ulepszenie naszych środków bezpieczeństwa.

W grudniu ubiegłego roku wszedł w życie unijny akt o cyberodporności (Cyber Resilience Act). Zgodnie z tą regulacją produkty z elementami cyfrowymi muszą spełniać określone standardy cyberbezpieczeństwa. Przedsiębiorstwa mają trzyletni okres przejściowy na dostosowanie swych produktów do tych nowych wymagań.

Jesteśmy dobrze przygotowani na wdrożenie tej regulacji. Już w 2021 roku na nasze procesy rozwoju produktów uzyskaliśmy certyfikat IEC 62443-4-1 od niezależnej jednostki certyfikującej TÜV Rheinland, a w ubiegłym roku powtórnie. Pozytywne jest to, że nasz certyfikat potwierdza zgodność z wieloma wymaganiami aktu o cyberodporności. Okazało się, że warte zachodu było nasze wczesne i aktywne zaangażowanie w standaryzację oraz w inicjatywy stowarzyszeń branżowych. Potrzebujemy kompleksowych rozwiązań w zakresie bezpieczeństwa dla przemysłu przetwórczego, a jedynym sposobem na ich wypracowanie jest współpraca z naszymi klientami.

Nasze rozwiązania już dziś wyznaczają standardy. Przykładem może być opracowana przez Endress+Hauser dodatkowa warstwa zabezpieczeń dla technologii Bluetooth, wykorzystująca jako główny komponent protokół CPace. W 2020 roku grupa badawcza działająca w ramach organizacji normalizacyjnej IETF ogłosiła nasze rozwiązanie zwycięzcą konkursu kryptograficznego. Niezależnie od tego, w 2016 roku Instytut Fraunhofera AISEC z siedzibą w Monachium sklasyfikował poziom ochrony rozszerzenia bezpieczeństwa Bluetooth firmy Endress+Hauser jako "wysoki". Jesteśmy z tego naprawdę dumni. Stanowi to motywację dla mnie i mojego zespołu do ciągłego doskonalenia cyberbezpieczeństwa naszych produktów.