Ο CRA για τους κατασκευαστές μηχανημάτων μετά τις κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026. Τι πρέπει πραγματικά να εφαρμοστεί;

Για χρόνια, η κυβερνοασφάλεια μιας μηχανής περιγραφόταν με τρία βήματα: επώνυμος ελεγκτής, VPN «γιατί έτσι γίνεται» και το κλασικό «ο πελάτης θα ασφαλίσει το δίκτυο». Κι αν κάποιος πρόσθετε και ένα firewall στον ηλεκτρικό πίνακα, το θέμα συχνά θεωρούνταν λήξαν — τουλάχιστον μέχρι να δοκιμάσει κάποιος τι συμβαίνει σε πραγματική επίθεση και όχι σε παρουσίαση.

Μόνο που η κυβερνοασφάλεια δεν μεταφέρεται μέσω PROFINET. Τα επιμέρους στοιχεία μπορεί να έχουν πιστοποιήσεις, δηλώσεις και «secure by design» στο υλικό μάρκετινγκ, αλλά η μηχανή ως σύνολο μπορεί να παραμένει προβλέψιμη με τρόπο που δεν έχει καμία σχέση με την ασφάλεια. Όπως ένα ρελέ ασφαλείας δεν καθιστά το σύστημα ασφαλές, αν η λογική ελέγχου επιτρέπει την παράκαμψή του, έτσι και ένα «ασφαλές» HMI δεν λύνει το πρόβλημα της αρχιτεκτονικής, της ενοποίησης, των δικαιωμάτων πρόσβασης, των ενημερώσεων και του τι συμβαίνει όταν κάποιος σταματά να ζητά άδεια.

CRA (Cyber Resilience Act, Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ) 2024/2847) δεν είναι ένα πρόσθετο για το IT. Είναι κανονισμός για το προϊόν, που εισέρχεται στον κύκλο ζωής της μηχανής χωρίς να ζητά την έγκριση του τμήματος αυτοματισμού. Καλύπτει τον σχεδιασμό του συστήματος ελέγχου, την ανάλυση κινδύνου, την αλυσίδα εφοδιασμού, τη διαμόρφωση, τις ενημερώσεις, καθώς και τη συντήρηση του προϊόντος πολύ μετά την υπογραφή του FAT και την αποχώρηση της μηχανής από το εργοστάσιο. Και όχι, το επιχείρημα «δεν τη συνδέουμε στο internet» δεν κλείνει το θέμα. Στην πράξη, αρκεί ένας φορητός υπολογιστής συντήρησης, ένα USB stick, απομακρυσμένη διάγνωση «για λίγο» ή η ενσωμάτωση σε σύστημα του εργοστασίου, ώστε το όριο ανάμεσα στην απομόνωση και την έκθεση να πάψει να υπάρχει.

Οι κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026 δεν άλλαξαν τον ίδιο τον κανονισμό, αλλά περιόρισαν ουσιαστικά το περιθώριο ερμηνείας που προηγουμένως επέτρεπε να αντιμετωπίζεται η κυβερνοασφάλεια ως προαιρετικό επίπεδο. Διευκρινίστηκαν, μεταξύ άλλων, τα όρια του προϊόντος, ο ρόλος της απομακρυσμένης επεξεργασίας, η ευθύνη για αλλαγές μετά την παράδοση, καθώς και το ότι το «δεν είναι δικό μας πρόβλημα μετά το FAT» δεν αποτελεί πλέον ασφαλή παραδοχή.

Η σημαντικότερη αλλαγή, όμως, είναι πιο θεμελιώδης: η κυβερνοεπίθεση παύει να είναι αποκλειστικά συμβάν IT και γίνεται σενάριο που επηρεάζει τη λειτουργική ασφάλεια της μηχανής. Αν μια μη εξουσιοδοτημένη αλλαγή προγράμματος μπορεί να προκαλέσει κίνηση άξονα, παράκαμψη διασύνδεσης ασφαλείας, αλλαγή παραμέτρων διεργασίας ή απώλεια λειτουργίας ασφαλείας, τότε δεν μιλάμε πλέον για «περιστατικό δικτύου». Μιλάμε για δυνητικά ανεξέλεγκτη συμπεριφορά της μηχανής — ανεξάρτητα από το αν η αιτία ήταν σφάλμα διαμόρφωσης, κενό ασφαλείας στο λογισμικό ή σκόπιμη παρέμβαση.

Σε αυτό το πλαίσιο, ένα εφάπαξ pentest πριν από το FAT παύει να αποτελεί απόδειξη συμμόρφωσης και γίνεται απλώς ένα στιγμιότυπο της κατάστασης του συστήματος σε μια συγκεκριμένη χρονική στιγμή. Το CRA απαιτεί συνεχή προσέγγιση: από τον σχεδιασμό, την παραγωγή και τη θέση σε λειτουργία, έως τις ενημερώσεις, τη διαχείριση ευπαθειών, την απόκριση σε περιστατικά και τη συντήρηση για τη δηλωμένη περίοδο υποστήριξης.

Στην πράξη, αυτό σημαίνει απομάκρυνση από τη λογική «ολοκληρώθηκε = ασφαλές» και μετάβαση στη λογική «συντηρείται = ελέγχεται». Χωρίς την ψευδαίσθηση ότι ένα firewall στον πίνακα, ένα VPN και ένα πιστοποιητικό εξαρτήματος κλείνουν το θέμα. Και χωρίς την παραδοχή ότι η κυβερνοασφάλεια τελειώνει τη στιγμή που υπογράφεται το πρωτόκολλο παραλαβής.

Σε αυτό το άρθρο αναλύουμε τι αλλάζουν στην πράξη οι κατευθυντήριες γραμμές του CRA για κατασκευαστές, integrators και όσους εκσυγχρονίζουν μηχανές — χωρίς να περιορίζουμε όλο το θέμα στο σύνθημα «ας αλλάξουμε τον κωδικό και ας προσθέσουμε ένα checkbox cybersecurity».

1. Για να μη υπαχθεί μια μηχανή στο CRA, θα έπρεπε να είναι σχεδόν μόνο με επαφείς

Σε πολλά έργα, το πεδίο εφαρμογής του CRA ελέγχεται με μία μόνο ερώτηση:

Θα συνδεθεί η μηχανή στο internet;

Δεν θα συνδεθεί.

Άρα το θέμα έκλεισε.

Στο σχέδιο υπάρχουν PLC, HMI, μερικοί drives, αποκεντρωμένες είσοδοι και έξοδοι, νησίδα βαλβίδων, σαρωτής ασφαλείας και θύρα για φόρτωση προγράμματος. Ο ελεγκτής επικοινωνεί με το panel μέσω PROFINET, με τους drives ανταλλάσσει control και status words, ενώ οι αισθητήρες μεταδίδουν δεδομένα μέσω IO-Link.

Αλλά router με κάρτα SIM δεν υπάρχει.

Ως γνωστόν, τα δεδομένα γίνονται δεδομένα μόνο όταν φύγουν από την αίθουσα παραγωγής.

Μόνο που το CRA δεν ρωτά αν η μηχανή έχει πρόσβαση στο internet.

Ρωτά αν ο προορισμός της ή η ευλόγως προβλέψιμη χρήση της περιλαμβάνει άμεση ή έμμεση, λογική ή φυσική σύνδεση δεδομένων με συσκευή ή δίκτυο. Δεν χρειάζεται να πρόκειται για σύνδεση με cloud, με server του κατασκευαστή ή με το δημόσιο internet. Μπορεί να γίνεται μέσω καλωδίου, ραδιοκυμάτων, διεπαφής λογισμικού ή ως μέρος ενός μεγαλύτερου συστήματος.

Και τώρα η κρίσιμη ερώτηση: τι ακριβώς σε μια τυπική μηχανή μεταδίδει πράγματι δεδομένα;

Το HMI διαβάζει καταστάσεις από το PLC και γράφει ρυθμίσεις;

Το PLC στέλνει στον drive control word και λαμβάνει ως απάντηση ταχύτητα, κατάσταση και κωδικό σφάλματος;

Η νησίδα εισόδων και εξόδων μεταδίδει την εικόνα της διεργασίας;

Ο αισθητήρας IO-Link στέλνει τιμή μέτρησης, αναγνωριστικό συσκευής και διαγνωστικά δεδομένα;

Το safety PLC επικοινωνεί με τα modules μέσω PROFIsafe;

Το πρόγραμμα, η διαμόρφωση υλικού ή το firmware φορτώνονται από φορητό υπολογιστή συντήρησης;

Συνταγές, αναφορές ή ενημερώσεις μπορούν να μεταφερθούν μέσω USB;

Αν η απάντηση έστω και μία φορά είναι «ναι», τότε κατά πάσα πιθανότητα έχουμε σύνδεση δεδομένων.

Και αυτό δεν αλλάζει από το γεγονός ότι:

• η μηχανή λειτουργεί σε τοπικό δίκτυο,
• δεν έχει δημόσια διεύθυνση IP,
• η θύρα Ethernet χρησιμοποιείται μόνο κατά τη θέση σε λειτουργία,
• ο φορητός υπολογιστής συνδέεται αποκλειστικά από το σέρβις,
• η επικοινωνία πραγματοποιείται μόνο στο εσωτερικό του συστήματος ελέγχου,
• ο πελάτης υποσχέθηκε ότι δεν θα συνδέσει ποτέ τη μηχανή στο internet.

Το CRA καλύπτει όχι μόνο τη χρήση που περιγράφεται στις οδηγίες ως βασική, αλλά και τη χρήση που είναι ευλόγως προβλέψιμη. Επομένως, μια θύρα σέρβις δεν παύει να μεταδίδει δεδομένα μόνο και μόνο επειδή στο σχέδιο έχει προστεθεί δίπλα της η ένδειξη «SERVICE ONLY».

Οι κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026 εισάγουν, ωστόσο, μια σημαντική διάκριση.

Δεν είναι κάθε καλώδιο και κάθε ηλεκτρικό σήμα σύνδεση δεδομένων.

Αν το σήμα χρησιμεύει αποκλειστικά για την ενεργοποίηση, την απενεργοποίηση ή την τροφοδότηση μιας συγκεκριμένης λειτουργίας και δεν μεταδίδει ψηφιακά κωδικοποιημένη πληροφορία, η απλή ύπαρξη δύο ηλεκτρικών καταστάσεων δεν αρκεί ακόμη για να θεωρηθεί σύνδεση δεδομένων.

Ένα κουμπί που δίνει τάση στο πηνίο ενός επαφέα δεν γίνεται ψηφιακή διεπαφή μόνο και μόνο επειδή η κατάστασή του μπορεί να περιγραφεί ως μηδέν ή ένα.

Ομοίως, ένας κλασικός τερματικός διακόπτης ενταγμένος σε κύκλωμα ρελέ-επαφέα μπορεί μόνο να διακόψει ή να κλείσει το κύκλωμα. Δεν μεταδίδει αριθμό συσκευής, τιμή διεργασίας, διαγνωστικό κωδικό, έκδοση firmware ούτε τηλεγράφημα που να περιέχει πολλές πληροφορίες.

Αλλά όταν η ίδια κατάσταση φτάνει σε μια έξυπνη συσκευή, κωδικοποιείται, μεταδίδεται μέσω διαύλου, συνδέεται με διαγνωστικά και ερμηνεύεται από τον παραλήπτη ως πληροφορία, τότε η κατάσταση είναι ήδη διαφορετική.

Άρα, το όριο δεν βρίσκεται μεταξύ μιας μηχανής «online» και «offline».

Βρίσκεται μεταξύ ενός απλού σήματος ελέγχου και της ανταλλαγής ψηφιακά κωδικοποιημένης πληροφορίας.

Γι’ αυτό, στην πράξη, μια μηχανή που θα έπρεπε να παραμείνει εκτός CRA αποκλειστικά λόγω έλλειψης σύνδεσης δεδομένων, θα έπρεπε να μοιάζει περισσότερο με ένα κλασικό κύκλωμα με κουμπιά, τερματικούς διακόπτες, ρελέ και επαφείς παρά με ένα σύγχρονο έργο που ανοίγει στο TIA Portal.

Αυτό, βέβαια, δεν αποτελεί νομοθετική εξαίρεση για τους επαφείς.

Μπορεί να κατασκευαστεί μια απλή μηχανή με PLC, η οποία, μετά από λεπτομερή ανάλυση, να μην πληροί το κριτήριο του πεδίου εφαρμογής. Μπορεί επίσης να προστεθεί σε ένα κύκλωμα επαφέων ένας ψηφιακός ρυθμιστής, μια διεπαφή service ή μια μονάδα επικοινωνίας και να βρεθεί ακριβώς στην άλλη πλευρά του ορίου.

Η ονομασία του εξαρτήματος δεν κρίνει την υπόθεση.

Αυτό που την κρίνει είναι τι κάνει πραγματικά το προϊόν και με τι ανταλλάσσει δεδομένα.

Γι’ αυτό, πριν απαντηθεί το ερώτημα αν μια συγκεκριμένη μηχανή υπάγεται στο CRA, πρέπει να καθοριστούν τα εξής:

• πού βρίσκεται το όριο του προϊόντος που αξιολογείται,
• ποιες συσκευές και ποια στοιχεία λογισμικού το αποτελούν,
• ποιες φυσικές και λογικές διεπαφές διαθέτει,
• ποιες πληροφορίες μεταδίδονται μέσω αυτών,
• ποιες συνδέσεις είναι άμεσες και ποιες πραγματοποιούνται μέσω μεγαλύτερου συστήματος,
• ποιες από αυτές εμφανίζονται κατά την κανονική λειτουργία, την εκκίνηση, τη διάγνωση, την ενημέρωση ή το service,
• ποιοι τρόποι χρήσης είναι εύλογα προβλέψιμοι, ακόμη κι αν ο κατασκευαστής θα προτιμούσε να μην τους προβλέπει.

Μέχρι να απαντηθούν αυτά τα ερωτήματα, δεν γνωρίζουμε αν η μηχανή παραμένει εκτός του πεδίου εφαρμογής του CRA.

Το πολύ-πολύ να έχουμε μια βολική φράση:

«Η μηχανή δεν είναι συνδεδεμένη στο διαδίκτυο».

Μόνο που αυτή είναι απάντηση σε ερώτημα που το CRA δεν θέτει.

Το PROFINET δεν είναι το διαδίκτυο. Για το CRA δεν χρειάζεται καν να είναι.

2. Η κυβερνοασφάλεια δεν μεταδίδεται μέσω PROFINET

Σε πολλά έργα, το θέμα της συμμόρφωσης της μηχανής ξεκινά ήδη από το στάδιο των αγορών.

PLC από αναγνωρισμένο κατασκευαστή.
HMI με ενημερωμένο firmware.
Διαχειριζόμενο switch.
Βιομηχανικός router με VPN.
Κινήσεις με λειτουργίες ασφάλειας.
Safety PLC με το κατάλληλο πιστοποιητικό.

Για κάθε συσκευή, δήλωση συμμόρφωσης, εγχειρίδιο και μερικά έγγραφα με τις λέξεις «secure», «encrypted» και «defence in depth».

Στο σχέδιο, όλα φαίνονται επαγγελματικά.

Μόνο που ακόμη δεν είναι γνωστό αν η πλήρης μηχανή είναι κυβερνοασφαλής.

Διότι η κυβερνοασφάλεια δεν «μεταφέρεται» μέσω PROFINET.

Είναι κάπως σαν την κλειδαριά στην πόρτα:
μπορείς να έχεις πολύ καλή κλειδαριά σε κάθε δωμάτιο, πιστοποιημένη, δοκιμασμένη, με όμορφη τεκμηρίωση και ολόγραμμα «secure», αλλά αυτό και πάλι δεν εγγυάται την ασφάλεια, αν κάποιος άφησε την εξώπορτα ορθάνοιχτη «επειδή έτσι ήταν πιο γρήγορα στην εκκίνηση».

Και ακριβώς το ίδιο ισχύει και εδώ: τα εξαρτήματα μπορεί να είναι υποδειγματικά, αλλά το σύστημα μπορεί παρ’ όλα αυτά να είναι… δημιουργικά ανοιχτό.

Το PLC δεν «μεταβιβάζει» ασφάλεια στο HMI.
Το firewall δεν «διορθώνει» τη λογική της εφαρμογής.
Το switch δεν «τακτοποιεί» την πρόσβαση των χρηστών.
Και το γεγονός ότι κάθε στοιχείο διαθέτει πιστοποιητικό δεν σημαίνει ακόμη ότι ολόκληρη η μηχανή δεν είναι ένα τεράστιο, ευγενικά τεκμηριωμένο κενό ασφαλείας.

Το PROFINET μεταδίδει δεδομένα.

Δεν μεταδίδει ευθύνη.
Και δυστυχώς δεν μεταδίδει ούτε κοινή λογική.

Το CRA καλύπτει τόσο πλήρη προϊόντα όσο και εξαρτήματα που διατίθενται στην αγορά χωριστά. Αυτό σημαίνει ότι ο ελεγκτής, ο πίνακας χειρισμού ή η μονάδα επικοινωνίας μπορούν να αξιολογούνται ξεχωριστά. Αλλά ο κατασκευαστής της μηχανής εξακολουθεί να πρέπει να αποδείξει ότι το σύνολο λειτουργεί με ασφάλεια στην πραγματική διαμόρφωση στον πελάτη — δηλαδή σε εκείνη την έκδοση στην οποία κάποιος «σίγουρα δεν άλλαξε πια τίποτα… σωστά;».

Και εδώ εμφανίζεται το συνηθέστερο λάθος.

Είναι ακριβώς ο ίδιος μηχανισμός που γνωρίζουμε εδώ και χρόνια από την ασφάλεια μηχανών.

Η φωτοκουρτίνα έχει PL e.
Το Safety PLC έχει SIL 3.
Η κίνηση έχει STO.

Σημαίνει αυτό ότι ολόκληρη η μηχανή βρίσκεται αυτόματα σε αυτό το επίπεδο;

Είναι όπως το γεγονός ότι κάθε στοιχείο μιας σκαλωσιάς πληροί τα πρότυπα ασφάλειας, κάτι που ακόμη δεν εγγυάται ότι ολόκληρη η κατασκευή θα είναι σταθερή.

Όχι.

Διότι εξακολουθεί να πρέπει να ελεγχθεί πώς λειτουργούν όλα αυτά μαζί — δηλαδή εκείνο το όχι και τόσο δημοφιλές στάδιο της «συστημικής σκέψης», που δυστυχώς δεν διαθέτει κουμπί «auto-certify».

Στην κυβερνοασφάλεια ισχύει ακριβώς το ίδιο.

Μπορεί να έχεις «ασφαλή» στοιχεία, αλλά στην πράξη:

• ο χειριστής βλέπει και μπορεί να αλλάζει περισσότερα δεδομένα από όσα χρειάζεται, επειδή «έτσι ήταν πιο βολικό»,
• ένας κωδικός πρόσβασης συντήρησης λειτουργεί σε όλα τα μηχανήματα, επειδή «το σέρβις ξέρει έτσι κι αλλιώς τι κάνει»,
• η θύρα συντήρησης είναι διαθέσιμη «για παν ενδεχόμενο», δηλαδή για κάθε ενδεχόμενο,
• η απομακρυσμένη πρόσβαση καλύπτει ολόκληρο το δίκτυο, επειδή κάποιος κάποτε είπε «μα αυτό είναι μόνο για διαγνωστικά»,
• οι ενημερώσεις μπορούν να εγκατασταθούν χωρίς έλεγχο, επειδή «ποτέ δεν χάλασε τίποτα»,
• οι συσκευές «εμπιστεύονται η μία την άλλη» χωρίς περιορισμούς, επειδή η εμπιστοσύνη είναι φθηνότερη από την τμηματοποίηση,
• και η ενοποίηση προϋποθέτει ότι κανείς δεν θα κάνει ποτέ λάθος, κάτι που — όπως δείχνει η ιστορία — είναι η πιο αισιόδοξη παραδοχή στη μηχανική.

Κάθε στοιχείο ξεχωριστά μπορεί να είναι σωστό.

Αλλά το σύστημα ως σύνολο μπορεί από αυτά τα σωστά στοιχεία να δημιουργήσει κάτι που λειτουργεί… απλώς όχι απαραίτητα όπως είχε προβλεφθεί.

Και αυτό είναι σημαντικό: ο κίνδυνος δεν βρίσκεται στις συσκευές, αλλά στη μεταξύ τους σύνδεση, στη διαμόρφωση και στη θρυλική πρόσβαση που «έμεινε προσωρινά».

Το CRA απαιτεί από τον κατασκευαστή του μηχανήματος κάτι περισσότερο από το να συλλέγει δηλώσεις σαν τρόπαια. Απαιτεί να ελέγχει αν αυτό που συναρμολογήθηκε από επιμέρους στοιχεία παραμένει ασφαλές ως σύνολο — και όχι μόνο αν «φαίνεται ωραίο στον πίνακα συμμόρφωσης».

Στην πράξη αυτό σημαίνει απλά, επιχειρηματικά ερωτήματα:

• αν κάθε χρήστης έχει μόνο την πρόσβαση που πραγματικά χρειάζεται, και όχι «μήπως χρειαστεί κάποτε»,
• αν η απομακρυσμένη πρόσβαση περιορίζεται στο ελάχιστο ή μάλλον στο μέγιστο της ευκολίας,
• αν το σέρβις δεν έχει «πλήρη δικαιώματα παντού», επειδή κάποιος έκρινε ότι έτσι επιταχύνονται τα πράγματα,
• αν το δίκτυο δεν είναι ένα ενιαίο κοινό επίπεδο, επειδή η τμηματοποίηση «περιπλέκει το έργο»,
• αν οι ενημερώσεις ελέγχονται ή μάλλον «τις περνάμε και προσευχόμαστε»,
• αν μπορεί να εντοπιστεί γρήγορα ποια μηχανήματα είναι εκτεθειμένα ή μάλλον «θα το ελέγξουμε μετά το περιστατικό»,
• αν η αστοχία ενός στοιχείου δεν ανοίγει ολόκληρο το σύστημα, επειδή «έτσι προέκυψε στην ενοποίηση».

Αυτά δεν είναι τεχνικά ερωτήματα «για τους μηχανικούς των δύσκολων πραγμάτων».

Είναι ερωτήματα επιχειρηματικού κινδύνου: διακοπές λειτουργίας, κόστη, ευθύνη και εκείνη η μικρή λεπτομέρεια ότι η παραγωγή πρέπει τελικά να λειτουργεί.

Γι’ αυτό δεν αρκεί να πούμε:

«όλα τα στοιχεία συμμορφώνονται»

Γιατί αυτό εξακολουθεί να μην απαντά στο ερώτημα:

είναι ολόκληρο το μηχάνημα ασφαλές στην πραγματική χρήση ή μόνο στο PowerPoint της ανασκόπησης έργου;

Η δήλωση του προμηθευτή είναι σημαντική.

Αλλά αφορά μόνο ένα στοιχείο — εκείνο που δοκιμάστηκε σε εργαστηριακές συνθήκες, και όχι σε περιβάλλον «κάπου στο εργοστάσιο, με VPN, USB και πίεση χρόνου».

Δεν καλύπτει το πώς χρησιμοποιήθηκε.
Δεν καλύπτει τη διαμόρφωση.
Δεν καλύπτει την ενοποίηση.
Δεν καλύπτει τις αποφάσεις που λήφθηκαν «στα γρήγορα κατά τη θέση σε λειτουργία, επειδή ο πελάτης περίμενε».
Δεν καλύπτει ό,τι συμβαίνει έπειτα από χρόνια λειτουργίας, όταν κανείς πια δεν θυμάται γιατί κάτι είχε μείνει «προσωρινά ανοιχτό».

Γι’ αυτό η αξιολόγηση δεν μπορεί να τελειώνει σε μια λίστα συσκευών.

Πρέπει να εξεταστεί το σύστημα ως σύνολο:

• ποιος έχει πρόσβαση και γιατί (και όχι «επειδή την είχε πάντα»),
• τι είναι πραγματικά απαραίτητο και τι απλώς «έμεινε, επειδή δεν ενοχλούσε»,
• πού μπορούν τα δεδομένα να διαρρεύσουν εκτός ελέγχου, επειδή κάποιος έκρινε ότι «είναι μόνο για διαγνωστικά»,
• τι θα συμβεί αν κάποιος χρησιμοποιήσει νόμιμη πρόσβαση με παράνομο τρόπο (δηλαδή ακριβώς όπως κάνουν οι επιθέσεις),
• πόσο γρήγορα μπορεί να υπάρξει αντίδραση όταν εμφανιστεί πρόβλημα, και όχι «μετά την τριμηνιαία ανασκόπηση».

Μέχρι να υπάρξουν απαντήσεις σε αυτά τα ερωτήματα, έχουμε μόνο ένα σύνολο πολύ αξιόλογων στοιχείων.

Δεν έχουμε ακόμη ένα ασφαλές μηχάνημα.

Η συμμόρφωση των επιμέρους στοιχείων δεν δημιουργεί αυτόματα συμμόρφωση του συστήματος. Η συμμόρφωση του μηχανήματος πρέπει να σχεδιαστεί, να ελεγχθεί και — το δυσκολότερο — να διατηρηθεί παρά τον πειρασμό να «μην πειράξουμε πια τίποτα, αφού λειτουργεί».

3. Μην προσθέτεις την κυβερνοεπίθεση στη λίστα των κινδύνων. Σύνδεσε τις δύο αναλύσεις στο σωστό σημείο

Στην αγορά μηχανημάτων, η τυπική ανάλυση κινδύνου κυβερνοασφάλειας εξακολουθεί να είναι μάλλον εξαίρεση παρά τυπικό στοιχείο του έργου.

Συνήθως υπάρχει ένας βιομηχανικός δρομολογητής.

Υπάρχει VPN.

Υπάρχει κωδικός πρόσβασης για το PLC.

Μερικές φορές υπάρχει διαχειριζόμενο switch, το οποίο αργότερα κανείς δεν διαχειρίζεται.

Στην πιο φιλόδοξη εκδοχή, ο κατασκευαστής λαμβάνει από τον προμηθευτή μια παρουσίαση για το «defence in depth» και θεωρεί ότι μόλις ολοκλήρωσε την ανάλυση κινδύνου κυβερνοασφάλειας ολόκληρου του μηχανήματος.

Δεν την ολοκλήρωσε.

Αγόρασε μερικά τεχνικά μέτρα.

Αυτό δεν είναι ακόμη ανάλυση.

Επομένως, δεν έχει νόημα να περιγράφεται το πρόβλημα σαν να προέκυπταν σε κάθε έργο δύο επαγγελματικές αξιολογήσεις — μία σύμφωνα με το ISO 12100, άλλη για την κυβερνοασφάλεια — που απλώς κατά τύχη δεν συνδέθηκαν μεταξύ τους.

Συνήθως προκύπτει μία.

Αξιολόγηση κινδύνου μηχανήματος.

Και ανάλυση κυβερνοασφάλειας του προϊόντος δεν προκύπτει καθόλου.

Η αξιολόγηση κινδύνου του μηχανήματος σύμφωνα με το ISO 12100 δεν συνίσταται στην καταχώριση σε έναν πίνακα:

βλάβη αισθητήρα → απροσδόκητη κίνηση → σύνθλιψη.

Αυτό μπορεί να είναι τμήμα ενός συγκεκριμένου σεναρίου, αλλά όχι το σημείο εκκίνησης.

Πρώτα πρέπει να καθοριστούν τα όρια του μηχανήματος.

Ποιος είναι ο προορισμός της;

Ποιες είναι οι φάσεις του κύκλου ζωής;

Ποιος θα τη χρησιμοποιεί;

Ποιες εργασίες θα εκτελούνται κατά τη μεταφορά, τη συναρμολόγηση, τη θέση σε λειτουργία, την παραγωγή, τη ρύθμιση, τον καθαρισμό, την απομάκρυνση εμπλοκών, τη συντήρηση, τη διάγνωση και την αποσυναρμολόγηση;

Σε ποιους τρόπους λειτουργίας μπορεί να λειτουργεί το μηχάνημα;

Πού βρίσκεται ο άνθρωπος κατά τη διάρκεια καθεμίας από αυτές τις εργασίες;

Ποια μέρη του μηχανήματος παραμένουν τότε υπό τάση, πίεση, φορτίο ή σε κίνηση;

Ποια χρήση δεν είναι σύμφωνη με τις οδηγίες, αλλά παραμένει παρ’ όλα αυτά εύλογα προβλέψιμη;

Μόνο αργότερα, για μια συγκεκριμένη εργασία ή λειτουργία, προσδιορίζονται μεταξύ άλλων:

• η πηγή του κινδύνου,
• το είδος του κινδύνου,
• η ζώνη κινδύνου,
• το εκτεθειμένο πρόσωπο,
• η επικίνδυνη κατάσταση,
• το επικίνδυνο συμβάν, εάν εμφανίζεται στο συγκεκριμένο σενάριο,
• οι πιθανές συνέπειες και το είδος της βλάβης.

Έτσι μοιάζει η ανάλυση κινδύνου μηχανήματος.

Δεν ξεκινάμε από το εξάρτημα.

Ξεκινάμε από τον άνθρωπο που εκτελεί μια συγκεκριμένη εργασία σε ένα μηχάνημα που βρίσκεται σε συγκεκριμένη κατάσταση. Το ISO 12100 καθορίζει ακριβώς μια τέτοια μεθοδολογία για τον εντοπισμό των κινδύνων, καθώς και για την εκτίμηση και αξιολόγηση του κινδύνου κατά τις αντίστοιχες φάσεις του κύκλου ζωής του μηχανήματος.

Ας πάρουμε ένα απλό παράδειγμα.

Ο χειριστής απομακρύνει ένα μπλοκαρισμένο τεμάχιο από το εσωτερικό του κελιού παλετοποίησης.

Έχουμε λοιπόν:

Εργασία: απομάκρυνση εμπλοκής.

Φάση χρήσης: λειτουργία, επέμβαση μετά τη διακοπή της διαδικασίας.

Τρόπος λειτουργίας: χειροκίνητος ή συντήρησης.

Εκτεθειμένο πρόσωπο: χειριστής ή τεχνικός συντήρησης.

Ζώνη κινδύνου: το εσωτερικό του κελιού, ιδίως ο χώρος μεταξύ του αρπάγη, του τεμαχίου και της κατασκευής του μηχανήματος.

Πηγή κινδύνου: η μηχανική ενέργεια του ρομπότ, του γραμμικού άξονα ή της πνευματικής αρπάγης.

Επικίνδυνη κατάσταση: ο άνθρωπος βρίσκεται στη ζώνη, ενώ η εκτέλεση κίνησης παραμένει δυνατή.

Επικίνδυνο συμβάν: απροσδόκητη κίνηση άξονα, κλείσιμο της αρπάγης ή απελευθέρωση αποθηκευμένης ενέργειας.

Πιθανή συνέπεια: πρόσκρουση, σύνθλιψη, κάταγμα ή ακρωτηριασμός.

Μόνο τώρα μπορεί να αξιολογηθεί ο κίνδυνος και να καθοριστούν τα μέτρα για τη μείωσή του.

Μπορεί να απαιτείται διασύνδεση προστατευτικού καλύμματος.

Μπορεί να απαιτείται ασφαλής διακοπή.

Μπορεί να είναι αναγκαία η αποτροπή απροσδόκητης εκκίνησης.

Ίσως χρειάζεται εκτόνωση της πνευματικής ενέργειας.

Ίσως η κίνηση σε χειροκίνητο τρόπο να μπορεί να πραγματοποιείται αποκλειστικά με διάταξη ενεργοποίησης και με ασφαλώς περιορισμένη ταχύτητα.

Αυτό εξακολουθεί να είναι η κλασική αξιολόγηση κινδύνου μηχανήματος.

Πού εμφανίζεται η κυβερνοασφάλεια;

Όχι ως νέα θέση δίπλα στον μηχανικό, ηλεκτρικό και θερμικό κίνδυνο.

Ο «χάκερ» δεν είναι πηγή μηχανικού κινδύνου

Η προσθήκη στον πίνακα του ISO 12100 της θέσης:

Κίνδυνος: κυβερνοεπίθεση

προσφέρει ελάχιστα.

Η κυβερνοεπίθεση δεν είναι περιστρεφόμενος άξονας, αιχμηρή ακμή, υψηλή θερμοκρασία ούτε πνευματική ενέργεια.

Ούτε αποτελεί ξεχωριστή ζώνη κινδύνου.

Ο χειριστής δεν υφίσταται σύνθλιψη από μια ευπάθεια CVE.

Την υφίσταται από στοιχείο του μηχανήματος που εκτέλεσε κίνηση, ενώ ο άνθρωπος βρισκόταν σε ακατάλληλη θέση.

Η κυβερνοεπίθεση μπορεί όμως να αλλάξει την κατάσταση του συστήματος ελέγχου, τα δεδομένα, το πρόγραμμα, τη διαμόρφωση ή τον τρόπο λειτουργίας του προστατευτικού μέτρου.

Μπορεί λοιπόν να γίνει:

• αιτία επικίνδυνου συμβάντος,
• πρόσθετη οδός που οδηγεί σε επικίνδυνη κατάσταση,
• αιτία απώλειας της αποτελεσματικότητας ενός μέτρου μείωσης του κινδύνου,
• ή τρόπος παράκαμψης των παραδοχών που υιοθετήθηκαν κατά τον σχεδιασμό των λειτουργιών ασφάλειας.

Και αυτό είναι το σωστό σημείο επαφής.

Όχι ο κατάλογος των κινδύνων.

Η συμπεριφορά του μηχανήματος.

Η ανάλυση κυβερνοασφάλειας πρέπει να εκπονείται χωριστά

Για ένα μηχάνημα ή ένα σύστημα αυτοματισμού, η ανάλυση κυβερνοασφάλειας θα έχει διαφορετική δομή από την αξιολόγηση κινδύνου σύμφωνα με το ISO 12100.

Το πιο φυσικό πλαίσιο για ένα σύστημα βιομηχανικού αυτοματισμού παρέχεται από το IEC 62443-3-2.

Το πρότυπο απαιτεί μεταξύ άλλων:

• τον ορισμό του συστήματος που υπόκειται στην ανάλυση, δηλαδή του SUC,
• τη διαίρεση του συστήματος σε ζώνες και κανάλια επικοινωνίας,
• την αξιολόγηση του κινδύνου για τις επιμέρους ζώνες και τα κανάλια,
• τον καθορισμό των επιδιωκόμενων επιπέδων ασφάλειας SL-T,
• την τεκμηρίωση των απαιτήσεων ασφάλειας.

Αυτό είναι ένα εντελώς διαφορετικό σημείο εκκίνησης από ό,τι στο ISO 12100.

Στο IEC 62443 ρωτάμε μεταξύ άλλων:

Τι ακριβώς ανήκει στο υπό ανάλυση σύστημα;

Ποια περιουσιακά στοιχεία πρέπει να προστατευθούν;

Ποιες συσκευές, εφαρμογές και διεπαφές βρίσκονται στο σύστημα;

Ποια στοιχεία πρέπει να ανήκουν στην ίδια ζώνη;

Πώς πραγματοποιείται η επικοινωνία μεταξύ των ζωνών;

Ποιος μπορεί να αποκτήσει πρόσβαση;

Από ποιο σημείο;

Με χρήση ποιας διεπαφής;

Ποιες ευπάθειες μπορούν να αξιοποιηθούν;

Ποια δεδομένα, λειτουργίες ή στοιχεία μπορούν να τροποποιηθούν;

Μέσω ποιας διαδρομής μπορεί ο επιτιθέμενος να περάσει από τον δρομολογητή συντήρησης στο PLC, το HMI, τον κινητήριο μηχανισμό ή τον σταθμό μηχανικού;

Ποιες συνέπειες θα έχει η απώλεια εμπιστευτικότητας, ακεραιότητας ή διαθεσιμότητας;

Ποια μέτρα προστασίας απαιτούνται;

Για τη διαδικασία ασφαλούς ανάπτυξης προϊόντος και για τις απαιτήσεις που αφορούν τα ίδια τα εξαρτήματα, σημασία έχουν επίσης και άλλα μέρη της σειράς, ιδίως τα IEC 62443-4-1 και IEC 62443-4-2. Το IEC 62443-3-3, αντίθετα, οργανώνει τις τεχνικές απαιτήσεις ασφάλειας σε επίπεδο συστήματος.

Το CRA δεν επιβάλλει σήμερα στον κατασκευαστή να γράψει στο εξώφυλλο της ανάλυσης «εκπονήθηκε σύμφωνα με το IEC 62443».

Το IEC 62443 επίσης δεν υποκαθιστά την απόδειξη συμμόρφωσης με τις απαιτήσεις του CRA.

Για ένα βιομηχανικό σύστημα αυτοματισμού, ωστόσο, αποτελεί πολύ πιο λογικό σημείο αναφοράς από την προσπάθεια να προστεθούν μερικά σενάρια επιθέσεων χάκερ σε έναν πίνακα του ISO 12100.

Διότι οι δύο μεθοδολογίες απαντούν σε διαφορετικά ερωτήματα.

ISO 12100:

Κατά τη διάρκεια ποιας εργασίας, πού, από ποια πηγή και ως αποτέλεσμα ποιου συμβάντος μπορεί ένας άνθρωπος να υποστεί βλάβη;

IEC 62443:

Ποιος, μέσω ποιας οδού και με εκμετάλλευση ποιας ευπάθειας μπορεί να επηρεάσει το σύστημα, τα δεδομένα του ή τις λειτουργίες του;

Μόνο στη συνέχεια πρέπει να ελεγχθεί αν η απάντηση από τη δεύτερη ανάλυση αλλάζει το σενάριο της πρώτης.

Το ίδιο σενάριο, δύο διαφορετικές αναλύσεις

Ας επιστρέψουμε στον χειριστή που αφαιρεί ένα μπλοκαρισμένο τεμάχιο.

Η ανάλυση κατά ISO 12100 έδειξε ότι ο άνθρωπος εισέρχεται σε μια ζώνη όπου μπορεί να συνθλιβεί από την κίνηση του ρομπότ ή της αρπάγης.

Το μέτρο μείωσης του κινδύνου είναι ένα μανδαλωμένο προστατευτικό, μια λειτουργία ασφαλούς ακινητοποίησης και μια τοπική επαναφορά τοποθετημένη εκτός της επικίνδυνης ζώνης.

Τώρα εκτελούμε την ανάλυση κυβερνοασφάλειας του συστήματος.

Εντοπίζουμε:

• τον δρομολογητή που χρησιμοποιείται για απομακρυσμένο σέρβις,
• τον λογαριασμό σέρβις,
• τον φορητό υπολογιστή μηχανικού,
• το HMI,
• το τυπικό PLC,
• το safety PLC,
• τις κινήσεις,
• τη διεπαφή προγραμματισμού,
• το δίκτυο PROFINET και την επικοινωνία PROFIsafe,
• τους μηχανισμούς φόρτωσης προγράμματος και παραμετροποίησης.

Εξετάζουμε το σενάριο:

Η παραβίαση του λογαριασμού σέρβις επιτρέπει απομακρυσμένη πρόσβαση στο τυπικό PLC και αποστολή εντολής κίνησης ενώ υπάρχει άνθρωπος μέσα στο κελί.

Οδηγεί αυτό το σενάριο σε επικίνδυνο συμβάν;

Δεν μπορεί να δοθεί απάντηση μόνο με βάση το γεγονός της παραβίασης του PLC.

Πρέπει να ελεγχθεί η αρχιτεκτονική της λειτουργίας ασφάλειας.

Εάν το άνοιγμα του προστατευτικού παρακολουθείται από το safety PLC, η λειτουργία αποσυνδέει με ασφάλεια τη ροπή των κινήσεων, η επαναφορά είναι αποκλειστικά τοπική και το τυπικό PLC δεν μπορεί να επαναφέρει την κίνηση ανεξάρτητα από την κατάσταση της λειτουργίας ασφάλειας, τότε η παραβίαση του τυπικού ελεγκτή μπορεί να σταματήσει την παραγωγή ή να διαταράξει τη διαδικασία.

Αλλά δεν θα πρέπει να προκαλέσει κίνηση με ανοιχτό το προστατευτικό.

Τότε η ανάλυση κυβερνοασφάλειας καταδεικνύει την επίθεση.

Η εκτίμηση κινδύνου της μηχανής καταδεικνύει τον μηχανικό κίνδυνο.

Η σωστά σχεδιασμένη λειτουργία ασφάλειας, ωστόσο, διακόπτει τη διαδρομή μεταξύ τους.

Και τώρα η δεύτερη παραλλαγή.

Η λειτουργία σέρβις επιλέγεται από το επίπεδο ενός απλού HMI.

Η τιμή της περιορισμένης ταχύτητας προέρχεται από το τυπικό PLC.

Ο απομακρυσμένος τεχνικός σέρβις μπορεί να εκτελέσει επαναφορά.

Ο ίδιος λογαριασμός μηχανικού επιτρέπει την αλλαγή του προγράμματος του τυπικού συστήματος και της διαμόρφωσης safety.

Το αντίγραφο του προγράμματος safety δεν συνδέεται με συγκεκριμένη έκδοση της μηχανής.

Κανείς δεν ελέγχει το άθροισμα ελέγχου μετά την επέμβαση.

Οι παράμετροι της κίνησης μπορούν να αλλάξουν απομακρυσμένα.

Σε αυτή την αρχιτεκτονική, η παραβίαση του λογαριασμού δεν σημαίνει πλέον αποκλειστικά απώλεια εμπιστευτικότητας ή σύντομη διακοπή λειτουργίας.

Μπορεί να αλλάξει τις συνθήκες στις οποίες βασιζόταν η μείωση του κινδύνου.

Μπορεί να οδηγήσει σε:

• επιλογή ακατάλληλης λειτουργίας,
• αλλαγή παραμέτρου ασφαλούς κίνησης,
• μη εξουσιοδοτημένη επαναφορά,
• φόρτωση μη εγκεκριμένης διαμόρφωσης,
• ή αποδυνάμωση της λειτουργίας που έπρεπε να αποτρέψει την απρόσμενη εκκίνηση.

Και τότε το σενάριο κυβερνοασφάλειας πρέπει να συνδεθεί με το συγκεκριμένο σενάριο ασφάλειας της μηχανής:

εργασία απομάκρυνσης εμπλοκής → άνθρωπος στη ζώνη κινδύνου → μη εξουσιοδοτημένη αλλαγή του συστήματος ελέγχου ή της προστατευτικής λειτουργίας → απρόσμενη κίνηση → σύνθλιψη.

Η πηγή του κινδύνου δεν έχει αλλάξει.

Παραμένει η μηχανική ενέργεια της μηχανής.

Η επικίνδυνη ζώνη δεν έχει αλλάξει.

Παραμένει στο εσωτερικό του κελιού.

Η πιθανή συνέπεια δεν έχει αλλάξει.

Παραμένει ο τραυματισμός του χειριστή.

Άλλαξε η διαδρομή που οδηγεί στο επικίνδυνο συμβάν.

Δεν καταλήγει κάθε ευπάθεια στο ISO 12100

Αυτή η διάκριση είναι εξίσου σημαντική.

Ας υποθέσουμε ότι μια ευπάθεια στο HMI επιτρέπει την ανάγνωση ιστορικών δεδομένων παραγωγής.

Αυτό μπορεί να είναι σημαντικό πρόβλημα από την άποψη του CRA.

Μπορεί να παραβιάζει την εμπιστευτικότητα των δεδομένων.

Μπορεί να απαιτεί ενημέρωση, αξιολόγηση επιπτώσεων, ενέργειες προς τους χρήστες και, υπό ορισμένες συνθήκες, επίσης αναφορά.

Αλλά εάν δεν επηρεάζει τη συμπεριφορά της μηχανής, δεν αλλάζει το προστατευτικό μέτρο και δεν μπορεί να οδηγήσει σε επικίνδυνη κατάσταση, δεν έχει νόημα να ενταχθεί με το ζόρι στην εκτίμηση κινδύνου κατά ISO 12100.

Ομοίως, μια επίθεση που προκαλεί αποκλειστικά μη διαθεσιμότητα των αναφορών παραγωγής μπορεί να σημαίνει επιχειρηματικό πρόβλημα και πρόβλημα συμμόρφωσης με το CRA.

Δεν είναι όμως απαραίτητο να δημιουργεί κίνδυνο για τον χειριστή.

Από την άλλη πλευρά, μια φαινομενικά αθώα δυνατότητα αλλαγής μίας τιμής αναφοράς μπορεί να έχει μικρή σημασία για την εμπιστευτικότητα των δεδομένων, αλλά τεράστια σημασία για τη φυσική ασφάλεια.

Για παράδειγμα, όταν η τιμή καθορίζει:

• τη μέγιστη ταχύτητα του άξονα,
• τη δύναμη πίεσης,
• τη θερμοκρασία της διεργασίας,
• την πίεση,
• τη θέση ακινητοποίησης,
• τον χρόνο ανοίγματος της βαλβίδας,
• ή το επιτρεπόμενο όριο κατά τη λειτουργία με ανοιχτό προστατευτικό κάλυμμα.

Επομένως, δεν ταξινομούμε μια κυβερνοαπειλή με βάση το πόσο τεχνικά ακούγεται.

Εξετάζουμε τι μπορεί πραγματικά να κάνει στη μηχανή.

Ο κανονισμός για τα μηχανήματα επιβάλλει αυτή τη γέφυρα

Αυτή η σύνδεση δεν αποτελεί απλώς καλή μηχανική πρακτική.

Το σημείο 1.2.1 του παραρτήματος III του κανονισμού για τα μηχανήματα απαιτεί τα συστήματα ελέγχου να σχεδιάζονται και να κατασκευάζονται έτσι ώστε να αποτρέπεται η δημιουργία επικίνδυνων καταστάσεων, επίσης ως αποτέλεσμα ευλόγως προβλέψιμων, κακόβουλων ενεργειών τρίτων.

Από την άλλη, το CRA επισημαίνει ότι οι ουσιώδεις απαιτήσεις κυβερνοασφάλειάς του μπορούν να υποστηρίξουν την απόδειξη συμμόρφωσης, μεταξύ άλλων, με τις απαιτήσεις 1.1.9 και 1.2.1 του κανονισμού για τα μηχανήματα.

Αυτό όμως δεν γίνεται αυτόματα.

Ο κατασκευαστής πρέπει να τεκμηριώσει αυτή τη σχέση βάσει της εκτίμησης κινδύνου. Η αξιολόγηση συμμόρφωσης σύμφωνα με το CRA και η αξιολόγηση συμμόρφωσης σύμφωνα με τον κανονισμό για τα μηχανήματα εξακολουθούν να παραμένουν χωριστές διαδικασίες.

Δηλαδή, δεν αρκεί να προετοιμαστούν:

• η εκτίμηση κινδύνου κατά ISO 12100,
• η ανάλυση κατά IEC 62443,
• δύο ξεχωριστές εκθέσεις,
• και να ελπίζουμε ότι η ομοιότητα των αριθμών των προτύπων θα δημιουργήσει μεταξύ τους ίχνος ελέγχου.

Απαιτείται συσχέτιση.

Για κάθε ουσιώδες κυβερνοσενάριο πρέπει να καθοριστούν:

1. ποιο στοιχείο ή ποια λειτουργία μπορεί να καταληφθεί ή να τροποποιηθεί,
2. ποια συμπεριφορά της μηχανής μπορεί να προκαλέσει αυτό,
3. αν η συμπεριφορά οδηγεί σε επικίνδυνη κατάσταση ή σε επικίνδυνο συμβάν,
4. ποια εργασία και ποια ζώνη κινδύνου αφορά,
5. ποια πιθανή συνέπεια έχει επισημανθεί στην εκτίμηση κατά ISO 12100,
6. ποιο μέτρο μείωσης του κινδύνου πρέπει να διακόψει την εξέλιξη του σεναρίου,
7. αν το μέτρο αυτό παραμένει αποτελεσματικό μετά την κατάληψη του στοιχείου που δέχθηκε επίθεση.

Αυτό το τελευταίο σημείο είναι το σημαντικότερο.

Διότι, αν η επίθεση και η προστασία εξαρτώνται από:

• τον ίδιο ελεγκτή,
• τον ίδιο λογαριασμό,
• το ίδιο δίκτυο,
• τον ίδιο σταθμό μηχανικής,
• ή το ίδιο πρόγραμμα,

τότε ενδέχεται να μην έχουμε δύο ανεξάρτητα επίπεδα προστασίας.

Έχουμε ένα επίπεδο που περιγράφεται σε δύο έγγραφα.

Επομένως, δεν χρειαζόμαστε έναν τεράστιο πίνακα με την ονομασία:

«εκτίμηση κινδύνου safety & cybersecurity».

Χρειαζόμαστε δύο ορθές αναλύσεις, εκτελεσμένες με τις κατάλληλες μεθόδους, καθώς και ένα ελεγχόμενο σημείο επαφής μεταξύ τους.

Το ISO 12100 πρέπει να περιγράφει τον άνθρωπο, την εργασία, την πηγή κινδύνου, τη ζώνη, την επικίνδυνη κατάσταση, το επικίνδυνο συμβάν και την πιθανή βλάβη.

Το IEC 62443 πρέπει να βοηθά στην περιγραφή του συστήματος, των ζωνών του, των διαύλων επικοινωνίας, των πόρων, των απειλών, των ευπαθειών, των διαδρομών επίθεσης και των απαιτούμενων μέτρων προστασίας.

Και ο κατασκευαστής πρέπει να αποδείξει αν το σενάριο της δεύτερης ανάλυσης μπορεί να ενεργοποιήσει το σενάριο της πρώτης ή να αφαιρέσει την αποτελεσματικότητα από το μέτρο που προοριζόταν να το σταματήσει.

Μια κυβερνοεπίθεση δεν χρειάζεται να δημιουργήσει νέο κίνδυνο. Αρκεί να ανοίξει μια νέα οδό προς ένα παλιό ατύχημα.

4. Ένα pentest πριν από το FAT είναι μια φωτογραφία. Το CRA απαιτεί ταινία

Σε πολλά έργα, η κυβερνοασφάλεια εμφανίζεται δύο εβδομάδες πριν από το FAT.

Ανατίθεται ένα pentest.

Συντάσσεται μια έκθεση.

Οι κρίσιμες ευπάθειες διορθώνονται, οι μεσαίες γίνονται αποδεκτές και το έγγραφο καταλήγει στον φάκελο του έργου.

Η μηχανή είναι κυβερνοασφαλής.

Μέχρι την επόμενη Τρίτη.

Ένα pentest μπορεί να είναι πολύτιμο στοιχείο επαλήθευσης. Ωστόσο, δείχνει την κατάσταση μιας συγκεκριμένης έκδοσης του προϊόντος, σε συγκεκριμένη διαμόρφωση και με χρήση καθορισμένων σεναρίων δοκιμής.

Δεν απαντά στο ερώτημα τι θα κάνει αργότερα ο κατασκευαστής.

Και το CRA αφορά ολόκληρο τον κύκλο ζωής του προϊόντος. Η εκτίμηση κινδύνου κυβερνοασφάλειας πρέπει να επηρεάζει τον προγραμματισμό, τον σχεδιασμό, την ανάπτυξη, την παραγωγή, την παράδοση και τη συντήρηση του προϊόντος. Μετά τη διάθεσή του στην αγορά, ο κατασκευαστής πρέπει να διαχειρίζεται τις ευπάθειες για τη δηλωμένη περίοδο υποστήριξης.

Ας επιστρέψουμε στη μηχανή συσκευασίας λαχανικών.

Η μηχανή πέρασε το FAT.

Το pentest δεν εντόπισε κρίσιμες ευπάθειες.

Οκτώ μήνες αργότερα, ο κατασκευαστής του router απομακρυσμένης εξυπηρέτησης δημοσιεύει πληροφορία για μια ευπάθεια που επιτρέπει την κατάληψη της συσκευής.

Και τώρα αρχίζει η πραγματική δουλειά.

Ποιες παραδοθείσες μηχανές έχουν αυτό το μοντέλο router;

Ποια έκδοση firmware έχει εγκατασταθεί σε κάθε μονάδα;

Είναι ενεργή η απομακρυσμένη πρόσβαση;

Μπορεί να αξιοποιηθεί η ευπάθεια στην πραγματική διαμόρφωση;

Η κατάληψη του router δίνει πρόσβαση μόνο στη διάγνωση ή και σε HMI, PLC, drives και safety PLC;

Είναι δυνατή μόνο η ανάγνωση δεδομένων ή και η αλλαγή του προγράμματος ή των παραμέτρων;

Μπορεί η επίθεση να επηρεάσει τη λειτουργία ασφαλείας;

Έχει διαθέσει ο προμηθευτής διόρθωση;

Θα αλλάξει η ενημέρωση του router τα πιστοποιητικά, τους κανόνες επικοινωνίας ή τον τρόπο δημιουργίας της σήραγγας;

Μετά από μια ενημέρωση, χρειάζεται να ελεγχθούν ξανά η απομακρυσμένη εξυπηρέτηση, η επικοινωνία και μέρος των λειτουργιών ασφαλείας;

Ποιοι πελάτες πρέπει να ενημερωθούν;

Και πληροί η κατάσταση τα κριτήρια για αναφορά ενεργά εκμεταλλευόμενης ευπάθειας ή σοβαρού περιστατικού;

Η έκθεση από δοκιμή διείσδυσης που πραγματοποιήθηκε πριν από το FAT δεν δίνει απάντηση σε κανένα από αυτά τα ερωτήματα.

Περιγράφει ένα μηχάνημα που πλέον δεν υπάρχει.

Γιατί από τη στιγμή της δοκιμής έχουν αλλάξει οι εκδόσεις λογισμικού, οι ρυθμίσεις, το περιβάλλον του χρήστη και η διαθέσιμη γνώση για τις ευπάθειες.

Γι’ αυτό ο κατασκευαστής δεν χρειάζεται μόνο μια δοκιμή, αλλά μια διαδικασία:

• ταυτοποίησης των εκδόσεων υλικού, firmware και λογισμικού σε κάθε παραδοθέν τεμάχιο,
• παρακολούθησης πληροφοριών για ευπάθειες,
• αξιολόγησης της εκμετάλλευσής τους στην πραγματική αρχιτεκτονική,
• ελέγχου των πιθανών επιπτώσεων στη διεργασία και στην ασφάλεια του μηχανήματος,
• προετοιμασίας και δοκιμής ενημερώσεων,
• ενημέρωσης των χρηστών,
• τεκμηρίωσης των αποφάσεων που ελήφθησαν,
• διαχείρισης των απαιτούμενων αναφορών.

Από τις 11 Σεπτεμβρίου 2026, οι κατασκευαστές υποχρεούνται να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντων με ψηφιακά στοιχεία. Η αρχική προειδοποίηση πρέπει να διαβιβάζεται εντός 24 ωρών και η πλήρης αναφορά εντός 72 ωρών.

Αυτό σημαίνει ότι, μόλις εντοπιστεί το πρόβλημα, δεν θα υπάρχει χρόνος για να αρχίσει η αναζήτηση:

«Ποιος κατασκεύασε τελικά αυτόν τον δρομολογητή και πού έχουμε τη λίστα με τα μηχανήματα στα οποία τον εγκαταστήσαμε;»

Το IEC 62443-4-1 δείχνει πολύ καθαρά τη διαφορά ανάμεσα σε μια εφάπαξ προστασία του προϊόντος και σε έναν ασφαλή κύκλο ανάπτυξής του. Δεν καλύπτει μόνο τον σχεδιασμό και την επαλήθευση, αλλά και τη διαχείριση ελαττωμάτων, διορθώσεων και του τέλους ζωής του προϊόντος.

Το FAT μπορεί, επομένως, να κλείσει ένα στάδιο του έργου.

Δεν κλείνει τον κύκλο ζωής του προϊόντος.

Δεν κλείνει την περίοδο υποστήριξης.

Δεν τερματίζει την παρακολούθηση των ευπαθειών.

Και δεν σημαίνει ότι η διαμόρφωση της ημέρας παραλαβής παραμένει αμετάβλητη για τα επόμενα δεκαπέντε χρόνια.

Το μηχάνημα μπορεί για μεγάλο χρονικό διάστημα να συσκευάζει λαχανικά για σούπερ μάρκετ.

Ο κατασκευαστής, όμως, δεν μπορεί να συσκευάσει και την κυβερνοασφάλειά του μαζί με το εγχειρίδιο, να τη σφραγίσει με μεμβράνη και να θεωρήσει ότι την παρέδωσε μια για πάντα.

Η δοκιμή διείσδυσης μπορεί να κλείσει ένα σημείο στη λίστα του FAT. Το CRA ανοίγει μια διαδικασία που διαρκεί έως το τέλος της περιόδου υποστήριξης του προϊόντος.