Prima di iniziare, puoi fornire una breve introduzione sulla cybersecurity nei sistemi industriali embedded edge-to-cloud?
Fino a poco tempo fa, la cybersecurity nei sistemi embedded industriali riguardava principalmente la protezione dell'infrastruttura IT e il rispetto di pratiche di base. Solo poche aziende affrontavano le preoccupazioni sulla cybersecurity con un processo strutturato e una gestione del ciclo di vita. Oggi, a causa dell'accelerazione nell'applicazione dei requisiti di cybersecurity, questo è diventato un requisito fondamentale. La sfida non è banale, dato che i dispositivi embedded operano solitamente in ambienti non protetti, si connettono a servizi cloud e richiedono un ciclo di vita sicuro in ogni fase - dalla progettazione e fornitura agli aggiornamenti e alla dismissione.
Perché la cybersecurity è diventata un punto centrale per il settore embedded industriale?
I dispositivi industriali sono sempre più connessi. La connettività offre la possibilità di estrarre dati, gestire dispositivi da remoto e ridurre i costi di operazione e manutenzione. Allo stesso tempo, però, rappresenta un punto di ingresso per gli attacchi informatici. I dispositivi embedded potrebbero potenzialmente diventare un singolo punto di guasto per una linea di produzione o un'infrastruttura critica. Le recenti misure di applicazione, come le estensioni 18031 per RED e il prossimo CRA, richiedono un approccio strutturato.
Puoi spiegare, in termini pratici, cosa significano il Cyber Resilience Act (CRA) e la nuova Direttiva sulle Apparecchiature Radio (RED) per i produttori di dispositivi edge?
Inizierò con RED, poiché questo è un requisito in Europa per quei dispositivi che hanno connettività radio. Con gli atti delegati estesi, il 18031, richiede ai dispositivi connessi di garantire la protezione della rete, salvaguardare i dati degli utenti e seguire le migliori pratiche per mantenere un sistema sicuro. Il CRA richiede ai produttori di integrare i requisiti di cybersecurity durante tutto il ciclo di vita del prodotto - dai processi di sviluppo sicuri, alla gestione delle vulnerabilità e agli aggiornamenti software fino alla documentazione di sicurezza chiara. Questo si traduce in un nuovo approccio alla progettazione del prodotto: la sicurezza oggi è un requisito del prodotto come qualsiasi altro attributo di qualità.
Quali sono i principali requisiti che un'azienda deve soddisfare per essere conforme a queste direttive?
Aziende come SECO sono ora tenute ad aggiornare i loro prodotti software non solo in termini di deliverable, ma anche in termini di processi. Il processo di sviluppo software deve includere la revisione del codice, la modellazione delle minacce e il test delle vulnerabilità. È anche essenziale implementare un meccanismo di aggiornamento sicuro per garantire che il prodotto rimanga sicuro dopo un aggiornamento e che l'aggiornamento sia legittimo in termini di origine. Il supporto software a lungo termine è un altro requisito chiave, insieme alle attività di conformità che forniscono prove e documentazione che dimostrano che sia il processo di sviluppo che il prodotto software soddisfano tutti i requisiti necessari. Un punto chiave è considerare la gestione della cybersecurity come parte del percorso del team di sviluppo - e automatizzare il più possibile i processi di rilevamento, integrazione e divulgazione.
Come cambia la progettazione hardware e software per un prodotto embedded industriale per conformarsi a CRA e RED?
L'integrazione di Secure Elements, come NXP Secure Element o TPM per l'archiviazione sicura delle chiavi, così come le migliori pratiche come il secure boot e l'hardware root of trust, sono caratteristiche obbligatorie da considerare nella selezione del silicio quando è il momento di progettare nuovo hardware.
Quali sono le principali minacce alla sicurezza che vediamo oggi negli ambienti edge-to-cloud?
L'accesso non autorizzato al dispositivo o all'infrastruttura cloud è oggi un aspetto critico. La manomissione fisica del dispositivo, soprattutto nei mercati che gestiscono informazioni sensibili o infrastrutture critiche, è un altro. È anche cruciale garantire la resilienza agli attacchi Denial of Service e limitare gli attacchi man-in-the-middle proteggendo tutti i canali di comunicazione.
Cosa si intende per sicurezza basata su hardware e come può essere implementata nei dispositivi industriali?
Partendo dall'hardware, TPM o Secure Element sono fondamentali, insieme all'avere un hardware Root of Trust per il Secure Boot fino al livello applicativo. Funzionalità come il Measured Boot e la crittografia del disco sono oggi requisiti molto comuni per le applicazioni industriali.
Come funziona la fornitura sicura delle chiavi e perché è un aspetto critico per la protezione del dispositivo?
Questa è una fase chiave che deve essere eseguita in un ambiente protetto. È critica perché garantisce l'identità del dispositivo per la comunicazione con la piattaforma IoT.
Quali misure possono essere adottate per garantire l'integrità della catena di fornitura del software?
Tutto inizia con SBOM - questo fornisce una visione completa dei componenti, delle loro dipendenze e di eventuali vulnerabilità note. È importante utilizzare build firmate e automatizzate, proteggendo la pipeline CI/CD per la firma degli artefatti.
Quali strumenti o pratiche consigli per implementare difese operative efficaci (monitoraggio, patching, aggiornamenti)?
Per implementare difese operative efficaci - inclusi monitoraggio, patching e aggiornamenti - è importante adottare uno strumento centralizzato per gestire le vulnerabilità del ciclo di vita e fare affidamento su un meccanismo di aggiornamento OTA robusto e standardizzato. Dovrebbero essere effettuate regolari valutazioni di cybersecurity e test di penetrazione, supportati da una politica di cybersecurity strutturata che includa la possibilità di ripristinare il dispositivo a uno stato noto in caso di problemi di patching.
Come si può garantire la sicurezza end-to-end, dal dispositivo edge al cloud, nell'architettura industriale?
Il nostro Clea Framework garantisce l'autenticazione reciproca tra i dispositivi e la piattaforma, nonché canali di comunicazione sicuri e crittografati. Una corretta gestione delle identità e degli accessi, insieme a regolari valutazioni delle vulnerabilità, sono anche essenziali.
Quali sono le migliori pratiche per proteggere i dispositivi che si trovano in ambienti industriali fisicamente non protetti?
Per gli ambienti industriali non protetti, consiglio di implementare meccanismi di rilevamento delle manomissioni che possano riportare il sistema a uno stato noto in caso di rilevamento di manomissioni, nonché un meccanismo di secure boot che richieda l'autenticazione dalla prima fase del processo di avvio. È anche importante disabilitare le porte e le interfacce non utilizzate e crittografare il disco per proteggere contro il furto del dispositivo. Tutti questi aspetti sono gestiti attraverso il nostro Clea Framework, che offre una soluzione end-to-end dal sistema operativo edge - Clea OS - fino alla piattaforma IoT.
Puoi dirci come SECO supporta i suoi clienti nel raggiungere la conformità con le linee guida CRA e la certificazione RED per i loro prodotti edge?
RED con le estensioni 18031 non può essere applicato al software, ma solo a livello di sistema. Abbiamo effettuato una valutazione completa per 18031-1 attraverso un organismo notificato, garantendo che qualsiasi cliente che lavori con il nostro stack software possa ridurre al minimo il time to market e il rischio, facendo affidamento sulle nostre soluzioni software e hardware. Siamo anche in fase di certificazione per IEC 62443 4-1 ML3 e 4-2 SL2. Questo si applica su scala globale ed è una regolamentazione di riferimento chiave per il mercato industriale e dell'automazione. Crediamo che allineare i nostri processi e prodotti con 18031 per RED e 62443 in termini di processi e prodotti fornisca una solida base per il prossimo CRA. Lavorando con il Clea Framework, garantiamo che i nostri clienti possano soddisfare i requisiti di cybersecurity attuali e futuri.
Quali sfide hai incontrato nell'implementare queste misure?
Spiegare ai clienti le nuove normative, il loro impatto e cosa significano in termini di processo. Speriamo che trovino grande valore nella nostra offerta di cybersecurity e nel nostro Clea Framework, che li aiuta a gestire questa complessità.
Ci sono errori comuni che vedi spesso ripetuti nel settore quando si tratta di sicurezza embedded?
Sì, certo. Alcune aziende dicono: "Ok, lo gestiremo più tardi." Evitare l'uso di una piattaforma per gestire gli aggiornamenti remoti - affidandosi ancora a chiavette USB e presenza fisica - ritarda il processo di aggiornamento e la valutazione del rischio che dovrebbe essere eseguita per prendere la decisione più informata.
Per concludere, come vedi evolversi la sicurezza nei sistemi embedded industriali nei prossimi 3-5 anni?
La sicurezza sarà un requisito standard. Costruire dispositivi sicuri con la sicurezza in mente ridurrà i costi rispetto a mettere in sicurezza dispositivi legacy in seguito. Inoltre, in termini di processo, ogni azienda sarà in grado di valutare il rischio e prendere le decisioni giuste. Mi aspetto anche che l'IA avrà un impatto su questo, sia all'edge che come parte della valutazione del rischio.
Quale messaggio chiave vorresti lasciare a coloro che sviluppano o integrano sistemi embedded edge-to-cloud oggi?
Indipendentemente dalla geografia, dal mercato o dalle normative attuali - dobbiamo considerare la sicurezza come la base di tutti i nuovi progetti, nonché la base di ogni soluzione end-to-end, edge-to-cloud. Questo diventerà un requisito de facto - semplicemente per giocare. Con il Clea Framework, crediamo di offrire una soluzione semplice, multipiattaforma, end-to-end per conformarsi ai requisiti di cybersecurity attuali e futuri che potrebbero potenzialmente influenzare i nostri clienti.
Questa intervista riflette l'impegno continuo di SECO per la cybersecurity e l'innovazione edge-to-cloud. Scopri di più su come il Clea Framework di SECO consente soluzioni sicure, scalabili e conformi negli ecosistemi IoT industriali. Contattaci per saperne di più su come SECO può supportare il tuo prossimo progetto edge sicuro.