Ο CRA για τους κατασκευαστές μηχανημάτων μετά τις κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026. Τι ακριβώς πρέπει πραγματικά να εφαρμοστεί;

Για χρόνια, η κυβερνοασφάλεια μιας μηχανής μπορούσε να περιγραφεί σε τρία βήματα: επώνυμος ελεγκτής, VPN «γιατί έτσι γίνεται» και το κλασικό «ο πελάτης θα ασφαλίσει το δίκτυο». Κι αν κάποιος πρόσθετε και firewall στον πίνακα, το θέμα συχνά θεωρούνταν λήξαν — τουλάχιστον μέχρι τη στιγμή που κάποιος προσπαθούσε να ελέγξει τι θα συμβεί μετά από πραγματική επίθεση, και όχι σε παρουσίαση.

Μόνο που η κυβερνοασφάλεια δεν μεταφέρεται μέσω PROFINET. Τα εξαρτήματα μπορεί να έχουν πιστοποιητικά, δηλώσεις και «secure by design» στο διαφημιστικό φυλλάδιο, αλλά η μηχανή ως σύνολο μπορεί να παραμένει προβλέψιμη με τρόπο που δεν έχει καμία σχέση με την ασφάλεια. Όπως ένα ρελέ ασφαλείας δεν καθιστά το σύστημα ασφαλές, αν η λογική ελέγχου επιτρέπει την παράκαμψή του, έτσι και ένα «ασφαλές» HMI δεν λύνει το πρόβλημα της αρχιτεκτονικής, της ενοποίησης, των δικαιωμάτων, των ενημερώσεων και του τι συμβαίνει όταν κάποιος σταματά να ζητά άδεια.

CRA (Cyber Resilience Act, Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (ΕΕ) 2024/2847) δεν είναι ένα πρόσθετο για το IT. Είναι κανονισμός προϊόντος, που εισέρχεται στον κύκλο ζωής της μηχανής χωρίς να ζητά τη συγκατάθεση του τμήματος αυτοματισμού. Καλύπτει τον σχεδιασμό του ελέγχου, την ανάλυση κινδύνου, την αλυσίδα εφοδιασμού, τη διαμόρφωση, τις ενημερώσεις, καθώς και τη συντήρηση του προϊόντος πολύ μετά την υπογραφή του FAT και την έξοδο της μηχανής από την αίθουσα παραγωγής. Και όχι, το επιχείρημα «δεν τη συνδέουμε στο διαδίκτυο» δεν κλείνει το θέμα. Στην πράξη, αρκεί ένας φορητός υπολογιστής συντήρησης, ένα pendrive, απομακρυσμένη διάγνωση «για λίγο» ή η ενσωμάτωση με το σύστημα του εργοστασίου, ώστε το όριο μεταξύ απομόνωσης και έκθεσης να πάψει να υπάρχει.

Οι κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026 δεν άλλαξαν τον ίδιο τον κανονισμό, αλλά περιόρισαν ουσιαστικά το περιθώριο ερμηνείας που προηγουμένως επέτρεπε να αντιμετωπίζεται η κυβερνοασφάλεια ως προαιρετικό επίπεδο. Διευκρινίστηκαν, μεταξύ άλλων, το όριο του προϊόντος, ο ρόλος της απομακρυσμένης επεξεργασίας, η ευθύνη για αλλαγές μετά την παράδοση, καθώς και το ότι το «δεν είναι δικό μας πρόβλημα μετά το FAT» δεν αποτελεί πλέον ασφαλή παραδοχή.

Η σημαντικότερη αλλαγή είναι όμως πιο θεμελιώδης: η κυβερνοεπίθεση παύει να είναι αποκλειστικά συμβάν IT και γίνεται σενάριο που επηρεάζει τη λειτουργική ασφάλεια της μηχανής. Αν μια μη εξουσιοδοτημένη αλλαγή προγράμματος μπορεί να προκαλέσει κίνηση άξονα, παράκαμψη μανδάλωσης, αλλαγή παραμέτρων διεργασίας ή απώλεια λειτουργίας ασφαλείας, τότε δεν μιλάμε πλέον για «περιστατικό δικτύου». Μιλάμε για δυνητικά ανεξέλεγκτη συμπεριφορά της μηχανής — ανεξάρτητα από το αν η αιτία ήταν σφάλμα διαμόρφωσης, ευπάθεια λογισμικού ή σκόπιμη παρέμβαση.

Σε αυτό το πλαίσιο, ένα εφάπαξ pentest πριν από το FAT παύει να αποτελεί απόδειξη συμμόρφωσης και γίνεται απλώς ένα στιγμιότυπο της κατάστασης του συστήματος σε μια συγκεκριμένη χρονική στιγμή. Το CRA απαιτεί συνεχή προσέγγιση: από τον σχεδιασμό, μέσω της παραγωγής και της θέσης σε λειτουργία, έως τις ενημερώσεις, τη διαχείριση ευπαθειών, την απόκριση σε περιστατικά και τη συντήρηση για τη δηλωμένη περίοδο υποστήριξης.

Στην πράξη, αυτό σημαίνει απομάκρυνση από τη λογική «έγινε = ασφαλές» προς τη λογική «συντηρείται = ελεγχόμενο». Χωρίς την ψευδαίσθηση ότι ένα firewall στον πίνακα, ένα VPN και το πιστοποιητικό ενός εξαρτήματος κλείνουν το θέμα. Και χωρίς την παραδοχή ότι η κυβερνοασφάλεια τελειώνει τη στιγμή της υπογραφής του πρωτοκόλλου παραλαβής.

Σε αυτό το άρθρο αναλύουμε τι αλλάζουν πραγματικά οι κατευθυντήριες γραμμές του CRA για τους κατασκευαστές, τους integrators και όσους εκσυγχρονίζουν μηχανές — χωρίς να περιορίζουμε όλο το θέμα στο σύνθημα «ας αλλάξουμε τον κωδικό και ας προσθέσουμε ένα checkbox cybersecurity».

1. Για να μην υπαχθεί μια μηχανή στο CRA, θα έπρεπε να είναι σχεδόν μόνο με επαφείς

Σε πολλά έργα, το πεδίο εφαρμογής του CRA ελέγχεται με μία ερώτηση:

Θα συνδεθεί η μηχανή στο διαδίκτυο;

Δεν θα συνδεθεί.

Άρα το θέμα έκλεισε.

Στο σχέδιο υπάρχει PLC, HMI, μερικές κινήσεις, αποκεντρωμένες είσοδοι και έξοδοι, νησίδα βαλβίδων, σαρωτής ασφαλείας και θύρα για φόρτωση προγράμματος. Ο ελεγκτής επικοινωνεί με το πάνελ μέσω PROFINET, με τις κινήσεις ανταλλάσσει λέξεις ελέγχου και κατάστασης, ενώ οι αισθητήρες μεταδίδουν δεδομένα μέσω IO-Link.

Αλλά δεν υπάρχει router με κάρτα SIM.

Όπως είναι γνωστό, τα δεδομένα γίνονται δεδομένα μόνο όταν βγουν από την αίθουσα παραγωγής.

Μόνο που το CRA δεν ρωτά αν η μηχανή έχει πρόσβαση στο διαδίκτυο.

Ρωτά αν ο προορισμός της ή η ευλόγως προβλέψιμη χρήση της περιλαμβάνει άμεση ή έμμεση, λογική ή φυσική σύνδεση δεδομένων με συσκευή ή δίκτυο. Δεν χρειάζεται να είναι σύνδεση με cloud, με διακομιστή του κατασκευαστή ή με το δημόσιο διαδίκτυο. Μπορεί να γίνεται μέσω καλωδίου, μέσω ραδιοκυμάτων, μέσω προγραμματιστικής διεπαφής ή ως μέρος ενός μεγαλύτερου συστήματος.

Και τώρα το βασικό ερώτημα: τι ακριβώς σε μια τυπική μηχανή μεταδίδει δεδομένα;

Το HMI διαβάζει καταστάσεις από το PLC και γράφει ρυθμίσεις;

Το PLC στέλνει στη μονάδα κίνησης λέξη ελέγχου και σε απάντηση λαμβάνει ταχύτητα, κατάσταση και κωδικό σφάλματος;

Η νησίδα εισόδων και εξόδων μεταδίδει την εικόνα της διεργασίας;

Ο αισθητήρας IO-Link στέλνει τιμή μέτρησης, αναγνωριστικό συσκευής και διαγνωστικά δεδομένα;

Το safety PLC επικοινωνεί με τις μονάδες μέσω PROFIsafe;

Το πρόγραμμα, η διαμόρφωση υλικού ή το firmware φορτώνονται από φορητό υπολογιστή συντήρησης;

Συνταγές, αναφορές ή ενημερώσεις μπορούν να μεταφερθούν μέσω USB;

Αν η απάντηση έστω και μία φορά είναι «ναι», τότε πιθανότατα έχουμε σύνδεση δεδομένων.

Και αυτό δεν αλλάζει από το γεγονός ότι:

• η μηχανή λειτουργεί σε τοπικό δίκτυο,
• δεν έχει δημόσια διεύθυνση IP,
• η θύρα Ethernet χρησιμοποιείται μόνο κατά την έναρξη λειτουργίας,
• ο φορητός υπολογιστής συνδέεται αποκλειστικά από το σέρβις,
• η επικοινωνία πραγματοποιείται μόνο εντός του συστήματος ελέγχου,
• ο πελάτης υποσχέθηκε ότι δεν θα συνδέσει ποτέ τη μηχανή στο διαδίκτυο.

Το CRA καλύπτει όχι μόνο τη χρήση που περιγράφεται στις οδηγίες ως βασική, αλλά και τη χρήση που είναι ευλόγως προβλέψιμη. Επομένως, η θύρα σέρβις δεν παύει να μεταδίδει δεδομένα μόνο και μόνο επειδή στο διάγραμμα έχει προστεθεί δίπλα της η ένδειξη «SERVICE ONLY».

Ωστόσο, οι κατευθυντήριες γραμμές της Επιτροπής της 27ης Ιουλίου 2026 εισάγουν μια σημαντική διάκριση.

Δεν είναι κάθε καλώδιο και κάθε ηλεκτρικό σήμα σύνδεση δεδομένων.

Εάν το σήμα χρησιμεύει αποκλειστικά για την ενεργοποίηση, την απενεργοποίηση ή την τροφοδότηση μιας συγκεκριμένης λειτουργίας και δεν μεταφέρει ψηφιακά κωδικοποιημένη πληροφορία, η απλή ύπαρξη δύο ηλεκτρικών καταστάσεων δεν αρκεί ακόμη για να θεωρηθεί σύνδεση δεδομένων.

Ένα κουμπί που δίνει τάση στο πηνίο ενός επαφέα δεν γίνεται ψηφιακή διεπαφή μόνο και μόνο επειδή η κατάστασή του μπορεί να περιγραφεί ως μηδέν ή ένα.

Αντίστοιχα, ένας κλασικός τερματικός διακόπτης ενταγμένος σε κύκλωμα ρελέ-επαφέα μπορεί απλώς να διακόψει ή να κλείσει το κύκλωμα. Δεν μεταδίδει αριθμό συσκευής, τιμή διεργασίας, διαγνωστικό κωδικό, έκδοση firmware ούτε τηλεγράφημα που περιέχει πολλές πληροφορίες.

Αλλά όταν η ίδια κατάσταση φτάνει σε μια ευφυή συσκευή, κωδικοποιείται, μεταδίδεται μέσω διαύλου, συνδέεται με διαγνωστικά και ερμηνεύεται από τον δέκτη ως πληροφορία, τότε η κατάσταση είναι ήδη διαφορετική.

Επομένως, το όριο δεν βρίσκεται μεταξύ μιας μηχανής «online» και «offline».

Βρίσκεται μεταξύ ενός απλού σήματος ελέγχου και της ανταλλαγής ψηφιακά κωδικοποιημένης πληροφορίας.

Γι’ αυτό, στην πράξη, μια μηχανή που θα έμενε εκτός CRA αποκλειστικά λόγω έλλειψης σύνδεσης δεδομένων θα έπρεπε να μοιάζει περισσότερο με ένα κλασικό σύστημα με κουμπιά, τερματικούς διακόπτες, ρελέ και επαφείς παρά με ένα σύγχρονο έργο που ανοίγει στο TIA Portal.

Αυτό, βέβαια, δεν αποτελεί νομοθετική εξαίρεση για τους επαφείς.

Μπορεί να κατασκευαστεί μια απλή μηχανή με PLC, η οποία, μετά από λεπτομερή ανάλυση, δεν θα πληροί το κριτήριο του πεδίου εφαρμογής. Μπορεί επίσης να προστεθεί σε ένα σύστημα επαφέων ένας ψηφιακός ρυθμιστής, μια διεπαφή σέρβις ή μια μονάδα επικοινωνίας και να βρεθεί ακριβώς στην άλλη πλευρά του ορίου.

Η ονομασία του εξαρτήματος δεν κρίνει την υπόθεση.

Αυτό που την κρίνει είναι τι κάνει πραγματικά το προϊόν και με τι ανταλλάσσει δεδομένα.

Γι’ αυτό, πριν απαντηθεί το ερώτημα αν μια συγκεκριμένη μηχανή υπάγεται στο CRA, πρέπει να καθοριστούν τα εξής:

• πού βρίσκεται το όριο του αξιολογούμενου προϊόντος,
• ποιες συσκευές και ποια στοιχεία λογισμικού το αποτελούν,
• ποιες φυσικές και λογικές διεπαφές διαθέτει,
• ποιες πληροφορίες μεταδίδονται μέσω αυτών,
• ποιες συνδέσεις είναι άμεσες και ποιες πραγματοποιούνται μέσω μεγαλύτερου συστήματος,
• ποιες από αυτές υπάρχουν κατά την κανονική λειτουργία, την έναρξη λειτουργίας, τη διάγνωση, την ενημέρωση ή το σέρβις,
• ποιοι τρόποι χρήσης είναι ευλόγως προβλέψιμοι, ακόμη κι αν ο κατασκευαστής θα προτιμούσε να μην τους προβλέπει.

Μέχρι να απαντηθούν αυτά τα ερωτήματα, δεν γνωρίζουμε αν η μηχανή παραμένει εκτός του πεδίου εφαρμογής του CRA.

Το πολύ-πολύ να έχουμε μια βολική φράση:

«Η μηχανή δεν είναι συνδεδεμένη στο διαδίκτυο».

Μόνο που αυτή είναι απάντηση σε ερώτημα που το CRA δεν θέτει.

Το PROFINET δεν είναι το διαδίκτυο. Για το CRA δεν χρειάζεται καθόλου να είναι.

2. Η κυβερνοασφάλεια δεν διαχέεται μέσω του PROFINET

Σε πολλά έργα, το θέμα της συμμόρφωσης της μηχανής αρχίζει ήδη από το στάδιο των προμηθειών.

PLC από αναγνωρισμένο κατασκευαστή.
HMI με ενημερωμένο firmware.
Διαχειριζόμενο switch.
Βιομηχανικός δρομολογητής με VPN.
Κινήσεις με λειτουργίες ασφάλειας.
Safety PLC με το κατάλληλο πιστοποιητικό.

Για κάθε συσκευή, δήλωση συμμόρφωσης, οδηγίες και μερικά έγγραφα με τις λέξεις «secure», «encrypted» και «defence in depth».

Στο διάγραμμα όλα φαίνονται επαγγελματικά.

Μόνο που ακόμη δεν είναι γνωστό αν η πλήρης μηχανή είναι κυβερνοασφαλής.

Γιατί η κυβερνοασφάλεια δεν «μεταφέρεται» μέσω του PROFINET.

Είναι κάπως σαν την κλειδαριά στην πόρτα:
μπορείς να έχεις πολύ καλή κλειδαριά σε κάθε δωμάτιο, πιστοποιημένη, δοκιμασμένη, με όμορφη τεκμηρίωση και ολόγραμμα «secure», αλλά αυτό εξακολουθεί να μην εγγυάται την ασφάλεια, αν κάποιος άφησε την εξώπορτα ορθάνοιχτη «επειδή έτσι ήταν πιο γρήγορα κατά την έναρξη λειτουργίας».

Και ακριβώς το ίδιο συμβαίνει και εδώ: τα εξαρτήματα μπορεί να είναι υποδειγματικά, αλλά το σύστημα μπορεί παρ’ όλα αυτά να είναι… δημιουργικά ανοιχτό.

Το PLC δεν «μεταβιβάζει» την ασφάλεια στο HMI.
Το firewall δεν «διορθώνει» τη λογική της εφαρμογής.
Το switch δεν «τακτοποιεί» την πρόσβαση των χρηστών.
Και το γεγονός ότι κάθε στοιχείο έχει πιστοποιητικό δεν σημαίνει ακόμη ότι ολόκληρη η μηχανή δεν είναι ένα τεράστιο, ευγενικά τεκμηριωμένο κενό ασφαλείας.

Το PROFINET μεταδίδει δεδομένα.

Δεν μεταδίδει ευθύνη.
Και δυστυχώς δεν μεταδίδει ούτε κοινή λογική.

Το CRA καλύπτει τόσο πλήρη προϊόντα όσο και εξαρτήματα που διατίθενται στην αγορά χωριστά. Αυτό σημαίνει ότι ο ελεγκτής, ο πίνακας χειρισμού ή η μονάδα επικοινωνίας μπορούν να αξιολογούνται χωριστά. Αλλά ο κατασκευαστής της μηχανής πρέπει και πάλι να αποδείξει ότι το σύνολο λειτουργεί με ασφάλεια στην πραγματική διαμόρφωση στον πελάτη — δηλαδή σε εκείνη την έκδοση στην οποία κάποιος «σίγουρα δεν άλλαξε πια τίποτα… σωστά;».

Και εδώ εμφανίζεται το συνηθέστερο σφάλμα.

Είναι ακριβώς ο ίδιος μηχανισμός που γνωρίζουμε εδώ και χρόνια από την ασφάλεια μηχανών.

Η φωτοκουρτίνα έχει PL e.
Το Safety PLC έχει SIL 3.
Η κίνηση διαθέτει STO.

Σημαίνει αυτό ότι ολόκληρη η μηχανή βρίσκεται αυτομάτως στο ίδιο επίπεδο;

Είναι όπως όταν κάθε επιμέρους στοιχείο μιας σκαλωσιάς πληροί τα πρότυπα ασφαλείας, χωρίς αυτό να εγγυάται ακόμη ότι όλη η κατασκευή θα είναι σταθερή.

Όχι.

Γιατί πρέπει και πάλι να ελεγχθεί πώς λειτουργούν όλα αυτά μαζί — δηλαδή αυτό το όχι και τόσο δημοφιλές στάδιο της «συστημικής σκέψης», που δυστυχώς δεν έχει κουμπί «auto-certify».

Το ίδιο ακριβώς ισχύει και στην κυβερνοασφάλεια.

Μπορεί να έχεις «ασφαλή» επιμέρους στοιχεία, αλλά στην πράξη:

• ο χειριστής βλέπει και μπορεί να αλλάζει περισσότερα δεδομένα από όσα πραγματικά χρειάζεται, επειδή «έτσι ήταν πιο βολικό»,
• ένας κωδικός πρόσβασης συντήρησης λειτουργεί σε όλες τις μηχανές, επειδή «το τμήμα συντήρησης ξέρει έτσι κι αλλιώς τι κάνει»,
• η θύρα συντήρησης είναι προσβάσιμη «για κάθε ενδεχόμενο», δηλαδή για κάθε πιθανό περιστατικό,
• η απομακρυσμένη πρόσβαση καλύπτει όλο το δίκτυο, επειδή κάποιος κάποτε είπε «μα είναι μόνο για διαγνωστικά»,
• οι ενημερώσεις μπορούν να εγκατασταθούν χωρίς έλεγχο, επειδή «ποτέ δεν χάλασε τίποτα»,
• οι συσκευές «εμπιστεύονται η μία την άλλη» χωρίς περιορισμούς, επειδή η εμπιστοσύνη είναι φθηνότερη από την τμηματοποίηση,
• και η ενοποίηση βασίζεται στην παραδοχή ότι κανείς δεν θα κάνει ποτέ λάθος, κάτι που — όπως δείχνει η ιστορία — είναι η πιο αισιόδοξη παραδοχή στη μηχανική.

Κάθε στοιχείο ξεχωριστά μπορεί να είναι σωστό.

Αλλά το σύστημα ως σύνολο μπορεί, από αυτά τα σωστά στοιχεία, να δημιουργήσει κάτι που λειτουργεί… απλώς όχι απαραίτητα όπως είχε προβλεφθεί.

Και αυτό είναι το κρίσιμο: ο κίνδυνος δεν βρίσκεται στις ίδιες τις συσκευές, αλλά στη μεταξύ τους σύνδεση, στη διαμόρφωση και στη θρυλική πρόσβαση που «έμεινε προσωρινά».

Το CRA απαιτεί από τον κατασκευαστή της μηχανής κάτι περισσότερο από το να συλλέγει δηλώσεις σαν τρόπαια. Απαιτεί να ελεγχθεί αν αυτό που συναρμολογήθηκε από επιμέρους εξαρτήματα παραμένει ασφαλές ως σύνολο — και όχι απλώς αν «φαίνεται ωραίο στον πίνακα συμμόρφωσης».

Στην πράξη αυτό σημαίνει απλά, επιχειρησιακά ερωτήματα:

• αν κάθε χρήστης έχει μόνο την πρόσβαση που πραγματικά χρειάζεται, και όχι «επειδή μπορεί να φανεί χρήσιμη κάποτε»,
• αν η απομακρυσμένη πρόσβαση περιορίζεται στο απολύτως αναγκαίο ή μάλλον στο μέγιστο της ευκολίας,
• αν η συντήρηση δεν έχει «πλήρη δικαιώματα παντού», επειδή κάποιος έκρινε ότι έτσι όλα γίνονται πιο γρήγορα,
• αν το δίκτυο δεν είναι ένα ενιαίο κοινό επίπεδο, επειδή η τμηματοποίηση «περιπλέκει το έργο»,
• αν οι ενημερώσεις ελέγχονται ή απλώς «τις περνάμε και προσευχόμαστε»,
• αν μπορεί να εντοπιστεί γρήγορα ποιες μηχανές είναι εκτεθειμένες ή αν θα ισχύσει το «θα το δούμε μετά το περιστατικό»,
• αν η αστοχία ενός στοιχείου δεν ανοίγει ολόκληρο το σύστημα, επειδή «έτσι προέκυψε στην ενοποίηση».

Αυτά δεν είναι τεχνικά ερωτήματα «για τους μηχανικούς των δύσκολων θεμάτων».

Είναι ερωτήματα επιχειρηματικού κινδύνου: διακοπές λειτουργίας, κόστος, ευθύνη και αυτή η μικρή λεπτομέρεια ότι η παραγωγή πρέπει τελικά να λειτουργεί.

Γι’ αυτό δεν αρκεί να πεις:

«όλα τα εξαρτήματα είναι συμμορφωμένα»

Γιατί αυτό εξακολουθεί να μην απαντά στο ερώτημα:

είναι ολόκληρη η μηχανή ασφαλής στην πραγματική χρήση ή μόνο στο PowerPoint της ανασκόπησης του έργου;

Η δήλωση του προμηθευτή είναι σημαντική.

Αλλά αφορά μόνο ένα στοιχείο — εκείνο ακριβώς που δοκιμάστηκε σε εργαστηριακές συνθήκες, και όχι σε περιβάλλον «κάπου στο εργοστάσιο, με VPN, USB και πίεση χρόνου».

Δεν καλύπτει τον τρόπο με τον οποίο χρησιμοποιήθηκε.
Δεν καλύπτει τη διαμόρφωση.
Δεν καλύπτει την ενοποίηση.
Δεν καλύπτει τις αποφάσεις που λήφθηκαν «βιαστικά κατά την έναρξη λειτουργίας, επειδή ο πελάτης περίμενε».
Δεν καλύπτει όσα συμβαίνουν μετά από χρόνια λειτουργίας, όταν κανείς πια δεν θυμάται γιατί κάτι είχε μείνει «προσωρινά ανοιχτό».

Γι’ αυτό η αξιολόγηση δεν μπορεί να σταματά στη λίστα των συσκευών.

Πρέπει να εξεταστεί το σύστημα ως σύνολο:

• ποιος έχει πρόσβαση και γιατί (και όχι «επειδή την είχε πάντα»),
• τι είναι πραγματικά απαραίτητο και τι απλώς «έμεινε επειδή δεν ενοχλούσε»,
• πού τα δεδομένα μπορούν να διαρρεύσουν εκτός ελέγχου, επειδή κάποιος έκρινε ότι «είναι μόνο διαγνωστικά»,
• τι θα συμβεί αν κάποιος χρησιμοποιήσει νόμιμη πρόσβαση με παράνομο τρόπο (δηλαδή ακριβώς όπως λειτουργούν οι επιθέσεις),
• πόσο γρήγορα μπορεί να υπάρξει αντίδραση όταν εμφανιστεί πρόβλημα, και όχι «μετά την τριμηνιαία ανασκόπηση».

Όσο δεν υπάρχουν απαντήσεις σε αυτά τα ερωτήματα, έχουμε μόνο ένα σύνολο από πολύ σωστά εξαρτήματα.

Δεν έχουμε ακόμη μια ασφαλή μηχανή.

Η συμμόρφωση των εξαρτημάτων δεν δημιουργεί αυτομάτως συμμόρφωση του συστήματος. Η συμμόρφωση της μηχανής πρέπει να σχεδιαστεί, να επαληθευτεί και — το δυσκολότερο απ’ όλα — να διατηρηθεί παρά τον πειρασμό να «μην πειράξουμε τίποτα άλλο, αφού λειτουργεί».

3. Μην προσθέτεις την κυβερνοεπίθεση στη λίστα κινδύνων. Σύνδεσε τις δύο αναλύσεις στο σωστό σημείο

Στην αγορά μηχανημάτων, η τυπική ανάλυση κινδύνου κυβερνοασφάλειας εξακολουθεί να είναι μάλλον η εξαίρεση παρά ένα καθιερωμένο στοιχείο του έργου.

Συνήθως υπάρχει ένας βιομηχανικός δρομολογητής.

Υπάρχει VPN.

Υπάρχει κωδικός πρόσβασης για το PLC.

Μερικές φορές υπάρχει και διαχειριζόμενο switch, το οποίο στη συνέχεια κανείς δεν διαχειρίζεται.

Στην πιο φιλόδοξη εκδοχή, ο κατασκευαστής λαμβάνει από τον προμηθευτή μια παρουσίαση για το «defence in depth» και θεωρεί ότι μόλις ολοκλήρωσε την ανάλυση κινδύνου κυβερνοασφάλειας για ολόκληρη τη μηχανή.

Δεν την ολοκλήρωσε.

Αγόρασε μερικά τεχνικά μέτρα.

Αυτό δεν είναι ακόμη ανάλυση.

Άρα δεν έχει νόημα να περιγράφουμε το πρόβλημα σαν να εκπονούνταν σε κάθε έργο δύο επαγγελματικές αξιολογήσεις — μία σύμφωνα με το ISO 12100, και μία δεύτερη για την κυβερνοασφάλεια — που απλώς τυχαία δεν συνδέθηκαν μεταξύ τους.

Συνήθως συντάσσεται μόνο μία.

Εκτίμηση κινδύνου μηχανής.

Ενώ η ανάλυση κυβερνοασφάλειας του προϊόντος συχνά δεν συντάσσεται καθόλου.

Η εκτίμηση κινδύνου μηχανής σύμφωνα με το ISO 12100 δεν σημαίνει ότι απλώς καταχωρούμε σε έναν πίνακα:

βλάβη αισθητήρα → απροσδόκητη κίνηση → σύνθλιψη.

Αυτό μπορεί να αποτελεί τμήμα ενός συγκεκριμένου σεναρίου, αλλά δεν είναι το σημείο εκκίνησης.

Πρώτα πρέπει να καθοριστούν τα όρια της μηχανής.

Ποια είναι η προβλεπόμενη χρήση της;

Ποιες είναι οι φάσεις του κύκλου ζωής της;

Ποιοι θα τη χρησιμοποιούν;

Ποιες εργασίες θα εκτελούνται κατά τη μεταφορά, την εγκατάσταση, τη θέση σε λειτουργία, την παραγωγή, τη ρύθμιση, τον καθαρισμό, την απομάκρυνση εμπλοκών, τη συντήρηση, τη διάγνωση και την αποσυναρμολόγηση;

Σε ποιους τρόπους λειτουργίας μπορεί να λειτουργεί η μηχανή;

Πού βρίσκεται ο άνθρωπος κατά τη διάρκεια καθεμίας από αυτές τις εργασίες;

Ποια μέρη της μηχανής παραμένουν τότε υπό τάση, πίεση, φορτίο ή σε κίνηση;

Ποια χρήση δεν είναι σύμφωνη με τις οδηγίες, αλλά εξακολουθεί να είναι ευλόγως προβλέψιμη;

Μόνο στη συνέχεια, για μια συγκεκριμένη εργασία ή λειτουργία, προσδιορίζονται μεταξύ άλλων:

• η πηγή του κινδύνου,
• το είδος του κινδύνου,
• η επικίνδυνη ζώνη,
• το εκτεθειμένο πρόσωπο,
• η επικίνδυνη κατάσταση,
• το επικίνδυνο συμβάν, εφόσον εμφανίζεται στο συγκεκριμένο σενάριο,
• οι πιθανές συνέπειες και το είδος της βλάβης.

Έτσι διαμορφώνεται η ανάλυση κινδύνου μηχανής.

Δεν ξεκινάμε από το εξάρτημα.

Ξεκινάμε από τον άνθρωπο που εκτελεί μια συγκεκριμένη εργασία σε μια μηχανή η οποία βρίσκεται σε συγκεκριμένη κατάσταση. Το ISO 12100 καθορίζει ακριβώς αυτή τη μεθοδολογία για τον εντοπισμό κινδύνων, καθώς και για την εκτίμηση και αξιολόγηση του κινδύνου κατά τις αντίστοιχες φάσεις του κύκλου ζωής της μηχανής.

Ας δούμε ένα απλό παράδειγμα.

Ο χειριστής απομακρύνει ένα μπλοκαρισμένο τεμάχιο από το εσωτερικό ενός κελιού παλετοποίησης.

Έχουμε λοιπόν:

Εργασία: απομάκρυνση εμπλοκής.

Φάση χρήσης: λειτουργία, επέμβαση μετά τη διακοπή της διαδικασίας.

Τρόπος λειτουργίας: χειροκίνητος ή συντήρησης.

Εκτεθειμένο πρόσωπο: ο χειριστής ή ο τεχνικός συντήρησης.

Επικίνδυνη ζώνη: το εσωτερικό του κελιού, ιδίως ο χώρος μεταξύ της αρπάγης, του τεμαχίου και της κατασκευής της μηχανής.

Πηγή κινδύνου: η μηχανική ενέργεια του ρομπότ, του γραμμικού άξονα ή της πνευματικής αρπάγης.

Επικίνδυνη κατάσταση: ο άνθρωπος βρίσκεται μέσα στη ζώνη ενώ η εκτέλεση κίνησης παραμένει δυνατή.

Επικίνδυνο συμβάν: απροσδόκητη κίνηση άξονα, κλείσιμο της αρπάγης ή απελευθέρωση αποθηκευμένης ενέργειας.

Πιθανή συνέπεια: πρόσκρουση, σύνθλιψη, κάταγμα ή ακρωτηριασμός.

Μόνο τώρα μπορεί να αξιολογηθεί ο κίνδυνος και να καθοριστούν τα μέτρα μείωσής του.

Μπορεί να απαιτείται διάταξη αλληλοασφάλισης του προστατευτικού.

Μπορεί να απαιτείται ασφαλής στάση.

Μπορεί να είναι αναγκαία η αποτροπή απροσδόκητης εκκίνησης.

Ίσως χρειάζεται εκτόνωση της πνευματικής ενέργειας.

Ίσως η κίνηση σε χειροκίνητο τρόπο να επιτρέπεται μόνο με διάταξη ενεργοποίησης και με ασφαλώς περιορισμένη ταχύτητα.

Αυτό εξακολουθεί να είναι κλασική εκτίμηση κινδύνου μηχανής.

Πού εμφανίζεται η κυβερνοασφάλεια;

Όχι ως μια νέα καταχώριση δίπλα στον μηχανικό, ηλεκτρικό και θερμικό κίνδυνο.

Ο «χάκερ» δεν είναι πηγή μηχανικού κινδύνου

Η προσθήκη στον πίνακα του ISO 12100 της καταχώρισης:

Κίνδυνος: κυβερνοεπίθεση

προσφέρει ελάχιστα.

Η κυβερνοεπίθεση δεν είναι περιστρεφόμενος άξονας, αιχμηρή ακμή, υψηλή θερμοκρασία ή πνευματική ενέργεια.

Δεν αποτελεί επίσης ξεχωριστή επικίνδυνη ζώνη.

Ο χειριστής δεν υφίσταται σύνθλιψη από μια ευπάθεια CVE.

Υφίσταται σύνθλιψη από στοιχείο της μηχανής που εκτέλεσε κίνηση ενώ ο άνθρωπος βρισκόταν σε λάθος θέση.

Η κυβερνοεπίθεση μπορεί όμως να αλλάξει την κατάσταση του συστήματος ελέγχου, τα δεδομένα, το πρόγραμμα, τη διαμόρφωση ή τον τρόπο λειτουργίας ενός μέτρου προστασίας.

Άρα μπορεί να καταστεί:

• αιτία επικίνδυνου συμβάντος,
• πρόσθετη οδός που οδηγεί σε επικίνδυνη κατάσταση,
• αιτία απώλειας της αποτελεσματικότητας ενός μέτρου μείωσης του κινδύνου,
• ή τρόπος παράκαμψης των παραδοχών που υιοθετήθηκαν κατά τον σχεδιασμό της λειτουργίας ασφάλειας.

Και αυτό είναι το σωστό σημείο επαφής.

Όχι ο κατάλογος κινδύνων.

Η συμπεριφορά της μηχανής.

Η ανάλυση κυβερνοασφάλειας πρέπει να εκπονείται χωριστά

Για μια μηχανή ή ένα σύστημα βιομηχανικού αυτοματισμού, η ανάλυση κυβερνοασφάλειας θα έχει διαφορετική δομή από την εκτίμηση κινδύνου σύμφωνα με το ISO 12100.

Το πιο φυσικό πλαίσιο για ένα σύστημα βιομηχανικού αυτοματισμού παρέχεται από το IEC 62443-3-2.

Το πρότυπο απαιτεί μεταξύ άλλων:

• τον ορισμό του συστήματος που υποβάλλεται σε ανάλυση, δηλαδή του SUC,
• τη διαίρεση του συστήματος σε ζώνες και κανάλια επικοινωνίας,
• την αξιολόγηση κινδύνου για τις επιμέρους ζώνες και τα κανάλια,
• τον καθορισμό των επιδιωκόμενων επιπέδων ασφάλειας SL-T,
• την τεκμηρίωση των απαιτήσεων ασφάλειας.

Πρόκειται για εντελώς διαφορετικό σημείο εκκίνησης από εκείνο του ISO 12100.

Στο IEC 62443 ρωτάμε μεταξύ άλλων:

Τι ακριβώς ανήκει στο σύστημα που αναλύεται;

Ποια περιουσιακά στοιχεία πρέπει να προστατευθούν;

Ποιες συσκευές, εφαρμογές και διεπαφές περιλαμβάνονται στο σύστημα;

Ποια στοιχεία πρέπει να ανήκουν στην ίδια ζώνη;

Πώς πραγματοποιείται η επικοινωνία μεταξύ των ζωνών;

Ποιος μπορεί να αποκτήσει πρόσβαση;

Από ποιο σημείο;

Με τη χρήση ποιας διεπαφής;

Ποιες ευπάθειες μπορούν να αξιοποιηθούν;

Ποια δεδομένα, λειτουργίες ή στοιχεία μπορούν να τροποποιηθούν;

Μέσω ποιας διαδρομής μπορεί ένας επιτιθέμενος να περάσει από τον δρομολογητή απομακρυσμένης συντήρησης στο PLC, στο HMI, στον μετατροπέα κίνησης ή στον σταθμό μηχανικού;

Ποιες θα είναι οι συνέπειες από την απώλεια εμπιστευτικότητας, ακεραιότητας ή διαθεσιμότητας;

Ποια μέτρα προστασίας απαιτούνται;

Για τη διαδικασία ασφαλούς ανάπτυξης του προϊόντος και για τις απαιτήσεις που αφορούν τα ίδια τα στοιχεία, σημασία έχουν και άλλα μέρη της σειράς, ιδίως τα IEC 62443-4-1 και IEC 62443-4-2. Το IEC 62443-3-3, από την άλλη, οργανώνει τις τεχνικές απαιτήσεις ασφάλειας σε επίπεδο συστήματος.

Το CRA δεν επιβάλλει σήμερα στον κατασκευαστή να αναγράψει στο εξώφυλλο της ανάλυσης «εκπονήθηκε σύμφωνα με το IEC 62443».

Το IEC 62443 επίσης δεν υποκαθιστά την απόδειξη συμμόρφωσης με τις απαιτήσεις του CRA.

Για ένα σύστημα βιομηχανικού αυτοματισμού, ωστόσο, αποτελεί σαφώς πιο λογικό σημείο αναφοράς από την προσπάθεια να προστεθούν μερικά σενάρια κυβερνοεπιθέσεων σε έναν πίνακα του ISO 12100.

Γιατί οι δύο μεθοδολογίες απαντούν σε διαφορετικά ερωτήματα.

ISO 12100:

Κατά τη διάρκεια ποιας εργασίας, σε ποιο σημείο, από ποια πηγή και ως αποτέλεσμα ποιου συμβάντος μπορεί να υποστεί βλάβη ένας άνθρωπος;

IEC 62443:

Ποιος, μέσω ποιας οδού και αξιοποιώντας ποια ευπάθεια μπορεί να επηρεάσει το σύστημα, τα δεδομένα του ή τις λειτουργίες του;

Μόνο στη συνέχεια πρέπει να ελεγχθεί αν η απάντηση από τη δεύτερη ανάλυση μεταβάλλει το σενάριο της πρώτης.

Το ίδιο σενάριο, δύο διαφορετικές αναλύσεις

Ας επιστρέψουμε στον χειριστή που απομακρύνει ένα μπλοκαρισμένο τεμάχιο.

Η ανάλυση κατά ISO 12100 έδειξε ότι ο άνθρωπος εισέρχεται σε ζώνη όπου μπορεί να συνθλιβεί από την κίνηση του ρομπότ ή της αρπάγης.

Το μέτρο μείωσης του κινδύνου είναι ένα μανδαλωμένο προστατευτικό κάλυμμα, μια λειτουργία ασφαλούς ακινητοποίησης και μια τοπική επαναφορά τοποθετημένη εκτός της επικίνδυνης ζώνης.

Τώρα εκτελούμε την ανάλυση κυβερνοασφάλειας του συστήματος.

Εντοπίζουμε:

• τον δρομολογητή που χρησιμοποιείται για απομακρυσμένη συντήρηση,
• τον λογαριασμό συντήρησης,
• τον φορητό υπολογιστή του μηχανικού,
• το HMI,
• το τυπικό PLC,
• το safety PLC,
• τους μετατροπείς κίνησης,
• τη διεπαφή προγραμματισμού,
• το δίκτυο PROFINET και την επικοινωνία PROFIsafe,
• τους μηχανισμούς φόρτωσης προγράμματος και παραμετροποίησης.

Εξετάζουμε το ακόλουθο σενάριο:

Η παραβίαση του λογαριασμού συντήρησης επιτρέπει απομακρυσμένη πρόσβαση στο τυπικό PLC και αποστολή εντολής κίνησης ενώ υπάρχει άνθρωπος μέσα στο κελί.

Οδηγεί αυτό το σενάριο σε επικίνδυνο συμβάν;

Δεν μπορεί να δοθεί απάντηση μόνο με βάση το γεγονός ότι παραβιάστηκε το PLC.

Πρέπει να ελεγχθεί η αρχιτεκτονική της λειτουργίας ασφάλειας.

Αν το άνοιγμα του προστατευτικού καλύμματος επιτηρείται από το safety PLC, η λειτουργία αποσυνδέει με ασφάλεια τη ροπή των μετατροπέων κίνησης, η επαναφορά είναι αποκλειστικά τοπική και το τυπικό PLC δεν μπορεί να επαναφέρει την κίνηση ανεξάρτητα από την κατάσταση της λειτουργίας ασφάλειας, τότε η παραβίαση του τυπικού ελεγκτή μπορεί να σταματήσει την παραγωγή ή να διαταράξει τη διαδικασία.

Δεν θα έπρεπε όμως να προκαλέσει κίνηση με ανοιχτό το προστατευτικό κάλυμμα.

Τότε η ανάλυση κυβερνοασφάλειας καταδεικνύει την επίθεση.

Η εκτίμηση κινδύνου της μηχανής καταδεικνύει τον μηχανικό κίνδυνο.

Ωστόσο, μια σωστά σχεδιασμένη λειτουργία ασφάλειας διακόπτει τη διαδρομή μεταξύ των δύο.

Και τώρα η δεύτερη εκδοχή.

Η λειτουργία συντήρησης επιλέγεται από ένα απλό HMI.

Η τιμή της περιορισμένης ταχύτητας προέρχεται από το τυπικό PLC.

Ο απομακρυσμένος τεχνικός συντήρησης μπορεί να εκτελέσει επαναφορά.

Ο ίδιος λογαριασμός μηχανικού επιτρέπει την αλλαγή του προγράμματος του τυπικού συστήματος και της παραμετροποίησης safety.

Το αντίγραφο του προγράμματος safety δεν είναι συνδεδεμένο με συγκεκριμένη έκδοση της μηχανής.

Κανείς δεν ελέγχει το άθροισμα ελέγχου μετά την επέμβαση.

Οι παράμετροι του μετατροπέα κίνησης μπορούν να αλλάξουν απομακρυσμένα.

Σε αυτή την αρχιτεκτονική, η παραβίαση του λογαριασμού δεν σημαίνει πλέον μόνο απώλεια εμπιστευτικότητας ή μια σύντομη διακοπή λειτουργίας.

Μπορεί να μεταβάλει τις συνθήκες πάνω στις οποίες βασιζόταν η μείωση του κινδύνου.

Μπορεί να οδηγήσει σε:

• επιλογή λανθασμένου τρόπου λειτουργίας,
• αλλαγή παραμέτρου ασφαλούς κίνησης,
• μη εξουσιοδοτημένη επαναφορά,
• φόρτωση μη εγκεκριμένης παραμετροποίησης,
• ή αποδυνάμωση της λειτουργίας που είχε σκοπό να αποτρέψει την απρόσμενη εκκίνηση.

Και τότε το σενάριο κυβερνοασφάλειας πρέπει να συνδεθεί με ένα συγκεκριμένο σενάριο ασφάλειας της μηχανής:

εργασία απομάκρυνσης εμπλοκής → άνθρωπος στην επικίνδυνη ζώνη → μη εξουσιοδοτημένη αλλαγή του συστήματος ελέγχου ή της προστατευτικής λειτουργίας → απρόσμενη κίνηση → σύνθλιψη.

Η πηγή του κινδύνου δεν έχει αλλάξει.

Παραμένει η μηχανική ενέργεια της μηχανής.

Η επικίνδυνη ζώνη δεν έχει αλλάξει.

Εξακολουθεί να βρίσκεται μέσα στο κελί.

Η πιθανή συνέπεια δεν έχει αλλάξει.

Παραμένει ο τραυματισμός του χειριστή.

Αυτό που άλλαξε είναι η διαδρομή που οδηγεί στο επικίνδυνο συμβάν.

Δεν καταλήγει κάθε ευπάθεια στο ISO 12100

Αυτή η διάκριση είναι εξίσου σημαντική.

Ας υποθέσουμε ότι μια ευπάθεια στο HMI επιτρέπει την ανάγνωση ιστορικών δεδομένων παραγωγής.

Αυτό μπορεί να είναι σημαντικό πρόβλημα από την οπτική του CRA.

Μπορεί να παραβιάζει την εμπιστευτικότητα των δεδομένων.

Μπορεί να απαιτεί ενημέρωση, αξιολόγηση επιπτώσεων, ενέργειες προς τους χρήστες και, υπό συγκεκριμένες συνθήκες, επίσης αναφορά.

Αλλά αν δεν επηρεάζει τη συμπεριφορά της μηχανής, δεν αλλάζει το προστατευτικό μέτρο και δεν μπορεί να οδηγήσει σε επικίνδυνη κατάσταση, δεν έχει νόημα να ενταχθεί με το ζόρι στην εκτίμηση κινδύνου κατά ISO 12100.

Ομοίως, μια επίθεση που προκαλεί αποκλειστικά μη διαθεσιμότητα των αναφορών παραγωγής μπορεί να σημαίνει επιχειρηματικό πρόβλημα και πρόβλημα συμμόρφωσης με το CRA.

Ωστόσο, δεν είναι απαραίτητο να δημιουργεί κίνδυνο για τον χειριστή.

Από την άλλη πλευρά, μια φαινομενικά αθώα δυνατότητα αλλαγής μίας τιμής ρύθμισης μπορεί να έχει μικρή σημασία για την εμπιστευτικότητα των δεδομένων, αλλά τεράστια σημασία για τη φυσική ασφάλεια.

Για παράδειγμα, όταν η τιμή καθορίζει:

• τη μέγιστη ταχύτητα άξονα,
• τη δύναμη πίεσης,
• τη θερμοκρασία της διεργασίας,
• την πίεση,
• τη θέση ακινητοποίησης,
• τον χρόνο ανοίγματος της βαλβίδας,
• ή το επιτρεπτό όριο κατά τη λειτουργία με ανοιχτό προστατευτικό κάλυμμα.

Επομένως, δεν ταξινομούμε την κυβερνοαπειλή με βάση το πόσο τεχνικά ακούγεται.

Εξετάζουμε τι πραγματικά μπορεί να κάνει στη μηχανή.

Ο κανονισμός για τα μηχανήματα επιβάλλει αυτή τη γέφυρα

Αυτή η σύνδεση δεν είναι απλώς καλή μηχανική πρακτική.

Το σημείο 1.2.1 του παραρτήματος III του κανονισμού για τα μηχανήματα απαιτεί τα συστήματα ελέγχου να σχεδιάζονται και να κατασκευάζονται έτσι ώστε να αποτρέπουν τη δημιουργία επικίνδυνων καταστάσεων, επίσης ως αποτέλεσμα ευλόγως προβλέψιμων κακόβουλων προσπαθειών τρίτων προσώπων.

Το CRA, με τη σειρά του, επισημαίνει ότι οι ουσιώδεις απαιτήσεις κυβερνοασφάλειάς του μπορούν να υποστηρίξουν την απόδειξη συμμόρφωσης, μεταξύ άλλων, με τις απαιτήσεις 1.1.9 και 1.2.1 του κανονισμού για τα μηχανήματα.

Αλλά αυτό δεν συμβαίνει αυτόματα.

Ο κατασκευαστής πρέπει να αποδείξει αυτή τη σχέση βάσει της εκτίμησης κινδύνου. Η αξιολόγηση συμμόρφωσης κατά CRA και η αξιολόγηση συμμόρφωσης κατά τον κανονισμό για τα μηχανήματα εξακολουθούν να παραμένουν χωριστές διαδικασίες.

Δηλαδή, δεν αρκεί να προετοιμαστούν:

• η εκτίμηση κινδύνου κατά ISO 12100,
• η ανάλυση κατά IEC 62443,
• δύο χωριστές εκθέσεις,
• και να θεωρηθεί ότι η ομοιότητα των αριθμών των προτύπων θα δημιουργήσει μεταξύ τους ίχνος ελέγχου.

Απαιτείται συσχέτιση.

Για κάθε ουσιώδες κυβερνοσενάριο πρέπει να καθοριστεί:

1. ποιο στοιχείο ή λειτουργία μπορεί να καταληφθεί ή να τροποποιηθεί,
2. ποια συμπεριφορά της μηχανής μπορεί να προκαλέσει αυτό,
3. αν η συμπεριφορά οδηγεί σε επικίνδυνη κατάσταση ή επικίνδυνο συμβάν,
4. ποια εργασία και ποια ζώνη κινδύνου αφορά,
5. ποια πιθανή συνέπεια έχει επισημανθεί στην αξιολόγηση ISO 12100,
6. ποιο μέτρο μείωσης του κινδύνου πρέπει να διακόψει την εξέλιξη του σεναρίου,
7. αν το μέτρο αυτό παραμένει αποτελεσματικό μετά την κατάληψη του στοιχείου που δέχθηκε επίθεση.

Αυτό το τελευταίο σημείο είναι το σημαντικότερο.

Γιατί αν η επίθεση και η προστασία εξαρτώνται από:

• τον ίδιο ελεγκτή,
• τον ίδιο λογαριασμό,
• το ίδιο δίκτυο,
• τον ίδιο σταθμό μηχανικής,
• ή το ίδιο πρόγραμμα,

τότε ενδέχεται να μην έχουμε δύο ανεξάρτητα επίπεδα προστασίας.

Έχουμε ένα επίπεδο που περιγράφεται σε δύο έγγραφα.

Δεν χρειαζόμαστε λοιπόν έναν τεράστιο πίνακα με την ονομασία:

«αξιολόγηση κινδύνου safety & cybersecurity».

Χρειαζόμαστε δύο ορθές αναλύσεις, εκτελεσμένες με τις κατάλληλες μεθόδους, καθώς και ένα ελεγχόμενο σημείο επαφής μεταξύ τους.

Το ISO 12100 πρέπει να περιγράφει τον άνθρωπο, την εργασία, την πηγή κινδύνου, τη ζώνη, την επικίνδυνη κατάσταση, το επικίνδυνο συμβάν και την πιθανή βλάβη.

Το IEC 62443 πρέπει να βοηθά στην περιγραφή του συστήματος, των ζωνών του, των διαύλων επικοινωνίας, των πόρων, των απειλών, των ευπαθειών, των διαδρομών επίθεσης και των απαιτούμενων μέτρων προστασίας.

Και ο κατασκευαστής πρέπει να αποδείξει αν το σενάριο της δεύτερης ανάλυσης μπορεί να ενεργοποιήσει το σενάριο της πρώτης ή να αφαιρέσει την αποτελεσματικότητα από το μέτρο που έπρεπε να το σταματήσει.

Μια κυβερνοεπίθεση δεν χρειάζεται να δημιουργήσει νέο κίνδυνο. Αρκεί να ανοίξει μια νέα διαδρομή προς ένα παλιό ατύχημα.

4. Το pentest πριν από το FAT είναι φωτογραφία. Το CRA απαιτεί ταινία

Σε πολλά έργα η κυβερνοασφάλεια εμφανίζεται δύο εβδομάδες πριν από το FAT.

Παραγγέλλεται ένα pentest.

Συντάσσεται μια έκθεση.

Οι κρίσιμες ευπάθειες διορθώνονται, οι μεσαίες γίνονται αποδεκτές και το έγγραφο καταλήγει στον φάκελο του έργου.

Η μηχανή είναι κυβερνοασφαλής.

Μέχρι την επόμενη Τρίτη.

Το pentest μπορεί να είναι ένα πολύ πολύτιμο στοιχείο επαλήθευσης. Ωστόσο, δείχνει την κατάσταση μιας συγκεκριμένης έκδοσης του προϊόντος, σε συγκεκριμένη διαμόρφωση και με χρήση καθορισμένων σεναρίων δοκιμής.

Δεν απαντά στο ερώτημα τι θα κάνει αργότερα ο κατασκευαστής.

Και το CRA αφορά ολόκληρο τον κύκλο ζωής του προϊόντος. Η αξιολόγηση κινδύνου κυβερνοασφάλειας πρέπει να επηρεάζει τον προγραμματισμό, τον σχεδιασμό, την ανάπτυξη, την παραγωγή, την παράδοση και τη συντήρηση του προϊόντος. Μετά τη διάθεσή του στην αγορά, ο κατασκευαστής πρέπει να διαχειρίζεται τις ευπάθειες για τη δηλωμένη περίοδο υποστήριξης.

Ας επιστρέψουμε στη μηχανή συσκευασίας λαχανικών.

Η μηχανή πέρασε το FAT.

Το pentest δεν έδειξε κρίσιμες ευπάθειες.

Οκτώ μήνες αργότερα, ο κατασκευαστής του δρομολογητή service δημοσιεύει πληροφορία για μια ευπάθεια που επιτρέπει την κατάληψη της συσκευής.

Και τώρα αρχίζει η πραγματική δουλειά.

Ποιες παραδοθείσες μηχανές έχουν αυτό το μοντέλο δρομολογητή;

Ποια έκδοση firmware έχει εγκατασταθεί σε κάθε τεμάχιο;

Είναι ενεργή η απομακρυσμένη πρόσβαση;

Μπορεί η ευπάθεια να αξιοποιηθεί στην πραγματική διαμόρφωση;

Η κατάληψη του δρομολογητή δίνει πρόσβαση αποκλειστικά στα διαγνωστικά ή και σε HMI, PLC, κινήσεις και safety PLC;

Είναι δυνατή μόνο η ανάγνωση δεδομένων ή και η αλλαγή του προγράμματος ή των παραμέτρων;

Μπορεί η επίθεση να επηρεάσει τη λειτουργία ασφάλειας;

Έχει διαθέσει ο προμηθευτής διόρθωση;

Θα αλλάξει η ενημέρωση του δρομολογητή τα πιστοποιητικά, τους κανόνες επικοινωνίας ή τον τρόπο δημιουργίας της σήραγγας;

Μετά από μια ενημέρωση, πρέπει να ελεγχθούν ξανά το απομακρυσμένο service, η επικοινωνία και ορισμένες λειτουργίες ασφαλείας;

Ποιοι πελάτες πρέπει να ενημερωθούν;

Και πληροί η κατάσταση τα κριτήρια για αναφορά μιας ενεργά εκμεταλλευόμενης ευπάθειας ή ενός σοβαρού περιστατικού;

Η έκθεση από pentest που έγινε πριν από το FAT δεν απαντά σε κανένα από αυτά τα ερωτήματα.

Περιγράφει ένα μηχάνημα που πλέον δεν υπάρχει.

Γιατί από τη στιγμή του ελέγχου έχουν αλλάξει οι εκδόσεις λογισμικού, οι ρυθμίσεις, το περιβάλλον του χρήστη και η διαθέσιμη γνώση για τις ευπάθειες.

Γι’ αυτό ο κατασκευαστής δεν χρειάζεται μόνο έναν έλεγχο, αλλά μια διαδικασία:

• ταυτοποίησης των εκδόσεων υλικού, firmware και λογισμικού σε κάθε παραδομένο τεμάχιο,
• παρακολούθησης πληροφοριών για ευπάθειες,
• αξιολόγησης της εκμετάλλευσής τους στην πραγματική αρχιτεκτονική,
• ελέγχου των πιθανών επιπτώσεων στη διεργασία και στην ασφάλεια του μηχανήματος,
• προετοιμασίας και δοκιμής ενημερώσεων,
• ενημέρωσης των χρηστών,
• τεκμηρίωσης των αποφάσεων που ελήφθησαν,
• διαχείρισης των απαιτούμενων αναφορών.

Από τις 11 Σεπτεμβρίου 2026, οι κατασκευαστές υποχρεούνται να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντων με ψηφιακά στοιχεία. Η αρχική προειδοποίηση πρέπει να διαβιβάζεται εντός 24 ωρών και η πλήρης αναφορά εντός 72 ωρών.

Αυτό σημαίνει ότι, μόλις εντοπιστεί το πρόβλημα, δεν θα υπάρχει χρόνος για να αρχίσουν οι αναζητήσεις:

«Ποιος κατασκεύασε τελικά αυτόν τον router και πού έχουμε τη λίστα με τα μηχανήματα στα οποία τον εγκαταστήσαμε;»

Το IEC 62443-4-1 δείχνει πολύ καθαρά τη διαφορά ανάμεσα σε μια εφάπαξ προστασία του προϊόντος και σε έναν ασφαλή κύκλο ανάπτυξής του. Δεν καλύπτει μόνο τον σχεδιασμό και την επαλήθευση, αλλά και τη διαχείριση ελαττωμάτων, διορθώσεων και του τέλους ζωής του προϊόντος.

Το FAT μπορεί, επομένως, να κλείσει ένα στάδιο του έργου.

Δεν κλείνει τον κύκλο ζωής του προϊόντος.

Δεν κλείνει την περίοδο υποστήριξης.

Δεν τερματίζει την παρακολούθηση των ευπαθειών.

Και δεν σημαίνει ότι η διαμόρφωση της ημέρας παραλαβής παραμένει αμετάβλητη για τα επόμενα δεκαπέντε χρόνια.

Το μηχάνημα μπορεί για μεγάλο χρονικό διάστημα να συσκευάζει λαχανικά για σούπερ μάρκετ.

Ο κατασκευαστής, όμως, δεν μπορεί να συσκευάσει την κυβερνοασφάλειά του μαζί με το εγχειρίδιο, να το σφραγίσει με μεμβράνη και να θεωρήσει ότι παραδόθηκε μία φορά και για πάντα.

Το pentest μπορεί να κλείσει ένα σημείο στη λίστα του FAT. Το CRA ανοίγει μια διαδικασία που διαρκεί μέχρι το τέλος της περιόδου υποστήριξης του προϊόντος.