Lyhyt vastaus on, että emme ole vielä aivan siiellä, mutta investoimme paljon resursseja saavuttaaksemme IEC 62443-4-1:n mukaisen säädöksen. Nykyinen työ keskittyy jo olemassa olevien prosessien laajentamiseen ja täydentämiseen tuotteidemme laadun takaamiseksi siten, että ne tukevat myös IEC 62443-4-1:n erityisvaatimuksia.

Keskitymme tällä hetkellä seuraavien lakien, standardien ja normien täyttämiseen:

• CRA (Cyber Resilience Act)
• IEC 62443
• IEC 29147
• IEC 30111
• IEC 27036
• California Password Law (2020 California Senat Bill SB-327)

Murrelektronik on luonut prosesseja, jotka ennakoivasti kattavat kaikki tehtävämme osa-alueet. Projektit käyttävät näitä vakiintuneita prosesseja ja räätälöivät niitä tarpeen mukaan. Tämä vastaa CMMI:n mukaan tasoa 3 ("määritelty").

Kyllä. Kaikkien vuoden 2024 aikana tai sen jälkeen kehitettyjen uusien tuotteiden tuotekehitysprosessi sisältää asiaankuuluvien uhkamallien kehittämisen.

Kyllä. Kaikkien vuoden 2024 aikana tai sen jälkeen kehitettävien uusien tuotteiden tuotekehitysprosessi sisältää defense-in-depth- konseptin kehittämisen, jolla torjutaan kaikki uhkamallinnuksessa tunnistetut riskit.

Kyllä. Turvallisuustestaus ja validointi ovat  osa laajaa testausta ja validointia, jota teemme tuotteillemme, jotka on kehitetty vuonna 2024 tai sen jälkeen.

Kyllä. Olemme määrittäneet koodausstandardit, ja niitä päivitetään jatkuvasti vastaamaan viimeisimpiä vaatimuksia, mukaan lukien kyberturvallisuusnäkökohdista johdetut vaatimukset.

Kyllä. Uusien tuotteiden kehittäminen sisältää turvallisuusvaatimusten määrittelyn osana kehityskonseptivaihetta.

Toteutamme IEC 62443-4-1 -standardissa määritettyjä vaatimuksia (SM-9 ja SM-10) sekä IEC 27036 -standardin vaatimuksia. Keskitymme tällä hetkellä prosessien määrittelyyn ja tarvittavien työkalujen hankintaan tämän tehtävän tueksi.

Suosittelemme useita vaiheita. Ei ole mahdollista antaa lyhyttä ja ytimekästä vastausta, joka kattaisi kaikki tilanteet ja tuotteet. Tärkeimmät tarkistettavat lähteet ovat:

1. Kyberturvallisuusluku tuotedokumentaatiossa
2. Yleiset kyberturvallisuusohjeet, jotka on käsitelty seuraavissa asiakirjoissa:

• General Cybersecurity Guidelines 

Tämä tieto löytyy kyseisen tuotteen dokumentaation kyberturvallisuusluvusta. Kyberturvallisuusluku sisältyy oletusarvoisesti vuonna 2024 tai sen jälkeen kehitettyjen uusien tuotteiden dokumentaatioon.

Tieto löytyy kyberturvallisuusluvusta vastaavasta tuotedokumentaatiosta, joka sisältyy oletusarvoisesti vuonna 2024 tai sen jälkeen kehitettyjen uusien tuotteiden dokumentaatioon.

Suorin tapa tavoittaa Murrelektronik PSIRT on käyttää tätä sähköpostiosoitetta: psirt@murrelektronik.de

Haavoittuvuuksien hallintaprosessimme käynnistyy, kun haavoittuvuus raportoidaan joko ulkoisesta lähteestä tai jatkuvan sisäisen seurannan kautta, jota suorittavat sisäiset sidosryhmät tai ulkoisten testauspalveluntarjoajien toimesta, jotka toimivat Murrelektronikin puolesta. 

Ilmoitus vastaanotetaan ja alustava arviointi tehdään. PSIRT koordinoi tätä prosessia sekä ulkoisesti että sisäisesti ja ylläpitää yhteydenpitoa kaikkiin sidosryhmiin.

Kun haavoittuvuus on vahvistettu ja analysoitu, PSIRT koordinoi kaikkien osapuolten kanssa korjaavien toimenpiteiden kehittämiseksi. 

"Haavoittuvuuksien käsittelyprosessi" -dokumenttimme..

Voit tilata päivitykset CERT@VDE palveluta, jossa julkaisemme kaikki tiedotteemme, täältä.

Julkaisemissamme tiedotteissa on yleensä suurin osa tai kaikki seuraavista elementeistä: 

1. Neuvontatunniste
2. Alkuperäisen julkaisun päivämäärä ja kellonaika sekä tarkistushistoria, jos tiedotteeseen tehdään päivityksiä.
3. Otsikko, johon sisällytetään tietoja esimerkiksi kyseisestä tuotteesta, jotta lukija voi nopeasti havainnoida, onko ohjeistus relevantti.
4. Yleiskatsaus: Kertomus haavoittuvuudesta
5. Tuotteet: Mihin tuotteisiin tiedote vaikuttaa, kyseiset laitteisto- ja laiteohjelmistoversiot sekä tarvittaessa turvallinen tapa testata haavoittuvuuden esiintyminen.
6. Kuvaus: Käyttäjät voivat arvioida riskit ilman, että haavoittuvuuden hyväksikäyttö helpottuu tai muuttuu todennäköisemmäksi. Luokka ja CVSS-pisteytys voidaan sisällyttää kuvaukseen.
7. Vaikutus: Sisällyttää mahdolliset seuraukset, jos havaittu haavoittuvuus hyödynnetään, sekä hyökkäysskenaariot, joita se mahdollistaa.
8. Vakavuus: Haavoittuvuuden luokitus Common Vulnerability Scoring Systemin (CVSS) mukaisesti.
9. Korjaus: Toimenpiteet, joilla käyttäjät voivat vähentää tai estää haavoittuvuuden hyväksikäytön sekä tarvittavat toimenpiteet haavoittuvuuden poistamiseksi (esim. asentamalla ohjelmistokorjauksia tai päivityksiä).
10. Viittauksia aiheeseen liittyviin tietoihin, kuten muihin tiedotteisiin tai CVE:hen (yleiset haavoittuvuudet ja altistukset).
11. Toimittajien haavoittuvuuden tunnustaminen, jos sovellettavissa.
12. Murrelektronik PSIRT:n yhteystiedot
13. Käyttöehdot: Tekijänoikeuden ja uudelleenjakelun ehdot. 

Murrelektronikin julkaistut turvallisuustiedotteet ovat saatavilla useiden eri kanavien kautta: 

• Verkkosivusto: PSIRT-verkkosivullamme on lista uusimmista ja aktiivisimmista tiedotteista. Se sisältää myös linkin kaikkien julkaistujen tiedotteiden arkistoon.
• CERT@VDE: Julkaisemme tiedotteemme CERT@VDE-tietokannassa. 

Kyllä. Tarjoamme turvallisuustiedotteemme CSAF-muodossa. Kun lataat tiedotteet, voit valita PDF-tiedoston ja koneellisesti luettavan CSAF-tiedoston välillä.

Voit aina löytää käyttämäsi tuotteen uusimman laiteohjelmiston tai ohjelmistoversion tuotteen "Ladatut tiedostot"-osiosta verkkokaupassamme.

Julkaistut tietoturvatiedotteet sisältävät myös kaikki linkit ja ohjeet, joita tarvitset tietoturvaan liittyvien päivitysten tai korjausten asentamiseen.