Standarder er et stærkt værktøj til at sikre pålideligheden i et elektronikprodukt. Men hvilke standarder findes der, når vi snakker cybersikkerhed, og hvordan kan vi bruge dem?

Af Jeppe Pilgaard Bjerre

Der kan næppe herske nogen tvivl om, at udvikling af elektronik er en øvelse i at beherske mange forskellige discipliner. Emner som kredsløbsdesign, test, godkendelser, produktion og logistik er noget, man er nødt til at have styr på for at have et produkt, der kan sælges. Hertil er cybersikkerhed, for mange, noget som man også bliver nødt til at tage stilling til både som producent og i den grad som bruger af disse.

I takt med at behovet for at kunne fjernstyre produkter og opbygge kontrolsystemer med mange forskellige leverandører stiger, kan det være en alvorlig udfordring for en systemejer at holde styr på, hvordan sikkerheden ser ud for hver enkelt komponent, samt hvilke krav der skal stilles, når det overordnede system skal designes.

Ligeledes kan det være en stor udfordring for producenter at designe sikkerhedsløsninger, da det kan være svært at konkretisere krav til sikkerhed for et produkt, hvis det ikke er klart, hvad behovet hos brugerne er.

Specielt for industriel IoT (IIoT) er det vigtigt at have styr på sikkerheden, da konsekvenserne af at en enhed bliver misbrugt kan have direkte katastrofale følger for både materiel og medarbejdere, som er afhængige af applikationen.

For producenter er det nødvendigt i udviklingsfasen at implementere processer, der tager højde for cybersikkerheden. Sikkerhed skal tænkes ind fra start, da det besværliggør og fordyrer udviklingen, hvis det er noget, man forsøger at lægge ovenpå efterfølgende. Her er det vigtigt at have veldefinerede krav, til hvad det er, der skal beskyttes. 

Håndtering af cybersikkerhed

Det kan være en udfordring - specielt for mindre virksomheder - at komme i gang med en strategi for at beskytte sine produkter, hvis man ikke allerede har medarbejdere med de relevante kompetencer. Her kan det være oplagt at tage fat i nogle af de standarder og guidelines, der findes, for at opnå en basal cybersikkerhed i produktet, for eksempel ETSI EN 303 645. Denne standard kan danne et fornuftigt grundlag for en cybersikkerhedsstrategi og hjælpe producenten med at implementere værktøjer, der kan gøre det lettere for producenten at vedligeholde produktsikkerheden.

ETSI EN 303 645 angiver en række basale krav, som produktet skal leve op til. Det kunne for eksempel være krav om, at kodeord ved ibrugtagning enten skal være unikt for hver enkelt enhed eller defineres af brugeren, at software skal kunne opdateres, eller at følsomme data skal gemmes sikkert.

Af interessante krav kan nævnes, at man som producent skal have en offentlig tilgængelig politik omkring indrapportering af sårbarheder, som folk kan have opdaget i et af producentens produkter. Standarden stiller altså både tekniske krav til produktet, men også krav til håndtering af produktets sikkerhed i dets levetid. 

Hvad skal man bruge?

Tilgangen til sikkerhed i ETSI EN 303 645 kan beskrives som ”one size fits most”. Altså, at der ikke tages udgangspunkt i et specifikt produkt, men i stedet stilles der krav, som kan afhjælpe de sikkerhedsproblemer, der oftest ses i produkter på markedet. 

Hvis man i stedet ønsker at tage udgangspunkt i et konkret produkt, kan man se på standarder som UL2900-1 eller IEC 62443. Disse tager en risikobetonet tilgang til sikkerhed, som kræver, at man udfærdiger og implementerer en proces for risikoanalyse for de produkter, som man ønsker, skal leve op til denne. Fordelen ved dette er, at man ender med en skræddersyet sikkerhedsstrategi for det enkelte produkt, men det afhænger i særdeleshed af, hvor god man er til at lave denne risikoanalyse og ikke mindst vedligeholde den.

Standarder til industrielle automationssystemer

For industrielle systemer er IEC 62443-serien oplagt at tage fat i. Standarden tager specifikt udgangspunkt i industrielle automationssystemer - helt nede fra enkelte elementer som PLCer og op til hele fabrikker -inklusive processer. Denne serie af standarder dækker tre hovedområder: 

  1. Leverandør, altså dem, der producerer hardware/software
  2. Integrator, der sammensætter elementer til hele systemer
  3. En ejer, som benytter systemerne. 

For leverandøren er der standarder, der beskriver, hvordan produkter, der skal indgå i et industrielt system, skal udvikles. Både konkrete tekniske krav som Ingen standardkodeord, men også krav til udviklingsprocessen som hvem der har ansvar for hvilke sikkerhedsfunktioner, hvilke tests skal gennemføres, og hvem må gøre dette etc. 

For integrator er der, meget lig leverandøren, standarder for hvordan systemer skal designes, og hvilke krav de skal overholde for at opnå specifikke sikkerhedsniveauer. Her handler det altså om at konkretisere krav til en specifik installation, for eksempel krav til underkomponenter, inddeling af sikkerhedszoner og krav til overgange mellem forskellige zoner. Her er det vigtigt, at man nemt kan kommunikere, hvilke krav en komponent lever op til. Dette håndteres blandt andet med en Security Level Vector. Denne beskriver, hvilke sikkerhedsniveauer en komponent kan opnå, såfremt den er konfigureret til dette. Denne vektor gør det lettere for en integrator at bedømme, om en given komponent vil kunne indgå i en specifik løsning, og det er derved ikke direkte nødvendigt at gennemgå al dokumentation for hver enkelt enhed for at finde komponenter, der potentielt kan klare opgaven.

Til ejeren er der blandt andet standarder, der beskriver, hvorledes man skal håndtere driften af et system. Her tænkes der blandt andet på, hvordan man håndterer softwareopdateringer, håndterer brugere, og håndterer risikoanalyse.

Der findes efterhånden en del godkendelsesprogrammer til IEC 62443. Disse gør det muligt for leverandører og integratorer af få en tredje part til at gennemgå systemer og komponenter ligesom ved ”almindelige” produktgodkendelser, hvilket kan hjælpe med at højne troværdigheden omkring sikkerheden i et produkt, samt minimere risikoen for at man fejlagtigt får sendt et fejlbehæftet produkt på markedet.

Hvad med godkendelser?

Fra et godkendelsesperspektiv kan det altså give god mening at sidestille cybersikkerhed med blandt andet EMC- og miljøkrav, som et produkt skal overholde, og derved håndtere sikkerhed på samme måde som man håndterer den øvrige compliance. Dette handler altså om at sikre robustheden af et produkt i forhold til det miljø, det skal bruges i. I en verden hvor cybersikkerhed kun bliver vigtigere, er det nødvendigt at tage denne udfordring seriøst, også inden der kommer deciderede regulatoriske krav, som kan blive adgangsgivende for at få et produkt på markedet. 

Standarder er noget, vi benytter til at hjælpe med mange aspekter af produktdesign. De hjælper os med at holde en ensartethed, så vi sikrer, at produkter kan have en rimelig pålidelighed, når de kommer ud i verden.

For cybersikkerhed er der god grund til at tage samme tilgang. Specielt når vi tænker på den bølge af IoT-produkter, der hele tiden bliver lanceret, og det voksende antal enheder, der bliver forbundet til internettet, er det i alles interesse, at vi gør en seriøs indsats for at sikre disse produkters cybersikkerhed. Både så de kan forsætte med at fungere, og så de ikke kommer til at indgå i angreb på andre systemer.

Her er standarder et stærkt værktøj, dels for dem som skal til at opbygge deres sikkerheds strategi, og dels for de virksomheder som skal levere en ensartet løsning på tværs af produktserier. Standarderne hjælper med at sikre, at vi er konsistente i vores produktudvikling, og at vi holder et bestemt niveau af sikkerhed, som lever op til de forventninger, der vil være til et stykke elektronik. 

Artiklen har været i Aktuel Elektronik i 2020.