Cybersicherheit ist ein Eckpfeiler der digitalen Transformation und die Grundlage einer „Secure-by-Design”-Mentalität. Cybersicherheit umzusetzen ist jedoch eine Spezialdisziplin, deren Entwicklung oder Vermittlung im eigenen Haus für viele eine Herausforderung darstellen kann. Cybersicherheitspraktiken müssen globalen Standards wie IEC 62443 und ISO/IEC 27001 entsprechen, um Risiken zu reduzieren, die Compliance zu beschleunigen und den sich ständig weiterentwickelnden Bedrohungen immer einen Schritt voraus zu sein. Diese Bedrohungen erfordern strenge Vorschriften und proaktive Sicherheitsmaßnahmen, die weltweit anerkannte Rahmenbedingungen für den Schutz von Informationssystemen und das Risikomanagement bieten. Die Vorschriften unterstreichen den weltweiten Trend zu strengeren Cybersicherheitskontrollen und veranlassen Unternehmen, konsequente Sicherheitsrahmen einzuführen und Branchenstandards einzuhalten.
Von innen heraus gestärkt
Sicherheit ist in alle Phasen der Produktentwicklung von Advantech integriert, um potenzielle Schwachstellen zu identifizieren und zu beheben. Mit der Zertifizierung nach IEC 62443-4-1 erfüllt unser Secure Software Development Life Cycle (SSDLC) höchste industrielle Cybersicherheitsstandards. Die Norm definiert die Anforderungen an einen sicheren Entwicklungszyklus in Bezug auf Cybersicherheit für Produkte, die im IACS-Umfeld (Industrial Automation and Control Systems) zum Einsatz kommen. SSDLC basiert auf dem V-Modell der IEC 62443-4-1 und integriert Sicherheit und Automatisierung in jede Phase. Bedarfsorientierte Tests und vollständige Validierung gewährleisten frühzeitige Risikominderung, schnellere Compliance und sichere, zuverlässige Lösungen für industrielle Anwendungen.
Herausforderung meistern
Die Norm IEC 62443-4-2 konzentriert sich auf Sicherheitsspezifikationen für Systeme, Komponenten und mehr, wobei der Schwerpunkt auf den Schutz auf der unteren Embedded-Ebene liegt. Advantech hat sich mit Bureau Veritas, einem Anbieter von Tests, Inspektionen und Zertifizierung, zusammengeschlossen, um Kunden bei der Bewältigung von Sicherheitsherausforderungen in sich schnell entwickelnden Bereichen wie AIoT und Edge-Computing zu unterstützen.
Advantech bietet auch die Konformitätsprüfung (VoC) oder formelle Zertifizierung (CB) an. Kunden können je nach Bedarf für die Einhaltung der IEC 62443-4-2 wählen. Mit unseren Prüfverfahren für funktionale Sicherheit helfen wir Kunden, den Zeit- und Kostenaufwand für die Zertifizierung erheblich zu reduzieren.
Dieser proaktive Ansatz integriert sicherheitsrelevante Best Practices in den traditionellen Softwareentwicklungszyklus (SDLC) im Bereich funktionaler Sicherheit. Er zeigt, wie der Einsatz automatisierter und integrierter Tools zur Konformität beiträgt. Verifizierung und Validierung spielen dabei eine wichtige Rolle, wobei sich verschiedene Testverfahren auf die in der Norm empfohlene anforderungsbasierte Teststrategie anwenden lassen.
Zahlreiche Vorteile
Durch diese Maßnahmen können Entwickler bei OEMs und Systemintegratoren die Bereitstellungszeit verkürzen, indem sie vorzertifizierte, sicherheitsgehärtete IIoT-Lösungen von Advantech integrieren. Dadurch werden Sicherheitsbewertungen und die Einhaltung gesetzlicher Vorschriften vereinfacht und die Systemresilienz gegenüber Cyberangriffen erhöht.
Ein Beispiel sind die HMI-Lösungen TPC-B520 und TPC-B300 von Advantech, die von Bureau Veritas gemäß IEC 62443-4-2 VoC-zertifiziert wurden. Mit ihnen lassen sich sichere und zuverlässige IACS-Architekturen aufbauen, die Integrität, Vertraulichkeit und Verfügbarkeit auch bei Sicherheitsvorfällen gewährleisten. Cybersicherheit betrifft nicht nur HMI, sondern alle Rechnersysteme. Der robuste Industriecomputer ECU-479 wurde speziell für Umspannwerke entwickelt und ist als VoC-System nach IEC 62443-4-2 (Sicherheitsstufe 2) zertifiziert. Ebenfalls zertifiziert sind die Ethernet-Switches EKI-7400/-7700, die VLAN-Segmentierung, Zugriffskontrolllisten und DHCP-Snooping zur Abwehr unbefugter Zugriffe unterstützen. Zudem ermöglichen sie Authentifizierung und Identitätsprüfung über den IEEE-Standard 802.1X, das RADIUS-Protokoll und MAB-Kontrolle.
Zur Einhaltung der funktionalen Sicherheit nach IEC 62443-4-2 werden die x86-basierten Advantech-Produkte schrittweise mit Schutzmechanismen wie Firmware-, Betriebssystem- und IoT-Sicherungen ausgestattet. Tools wie Trusted Platform Module (TPM) und Whitelist-Kontrolle erhöhen dabei die Gesamtsicherheit des Systems.
Für alle Produkte folgt Advantech einem strukturierten, sicherheitsorientierten Entwicklungs- und Implementierungsprozess, der Bedrohungsmodellierung und Sicherheitsdesign-Reviews, Security-by-Design-Prinzipien, Richtlinien für sicheres Codieren, Peer-Reviews und Audits umfasst.
Proaktive Maßnahmen
Entwickler sollten IIoT-Modul-Anbieter wählen, die einen umfassenden Schwachstellenmanagementprozess unterhalten. Das Advantech Cybersecurity Incident Response Team (ACIRT) bewertet potenzielle Bedrohungen für Produkte und berät Kunden zeitnah und transparent. Die Entwicklung eines sicheren Produkts erfordert einen umfassenden Ansatz für Embedded-Cybersicherheit. Kernprinzipien wie AAA (Authentifizierung, Autorisierung, Abrechnung) und CIA (Vertraulichkeit, Integrität, Verfügbarkeit) bilden die Grundlage für sicheres Systemverhalten und Datenschutz. Schließlich wird durch gründliche Sicherheitstests überprüft, ob die implementierten Kontrollen wirksam sind. Damit wird sicher gestellt, dass das Produkt realen Cyberbedrohungen standhält.
Lieferkette
Da Cyberangriffe auf die Lieferkette zu einem potenziellen Cybersicherheitsrisiko für Unternehmen geworden sind, hat Advantech auch Informationssicherheitsrisiken in seine Mechanismen zur Lieferantenbewertung/-verwaltung aufgenommen. Lieferanten, bei denen erhebliche Cybersicherheitsrisiken festgestellt wurden, müssen eine Selbstbewertung durchführen, die dann von Advantech ausgewertet wird. So lässt sich die Wahrscheinlichkeit verringern, dass Cybersicherheitsrisiken durch Dritte eingeführt werden.
Hervorzuheben ist, dass Advantech auch einen Mechanismus zur Verwaltung von Software-Stücklisten (SBOM) implementiert hat, um die Lieferkette in der Softwareentwicklung zu verfolgen und Komponenten von Drittanbietern mit Sicherheitspatches zu aktualisieren. Damit werden alle in Anwendungen integrierten Lieferantenbibliotheken, Skripte, CI/CD-Anwendungen, Artefakte, Lizenzen und Versionen nachverfolgt. Für kleine Unternehmen mit nur einer Anwendung mag die Verfolgung der Lieferkette einfach erscheinen, doch mit zunehmender Komplexität des Softwareentwicklungszyklus kann dies schnell zur Herausforderung werden. Durch proaktives Management von Abhängigkeiten können Unternehmen so Risiken mindern und einen robusten, sicheren Entwicklungszyklus aufrechterhalten.
