Cyber Resilience Act:
Come puoi preparare il tuo SCADA?

Un attacco informatico o l'utilizzo di un software non conforme al Cyber Resilience Act può avere conseguenze immediate e critiche per le tue attività. Potresti subire interruzioni della produzione, perdita di dati sensibili o gravi interruzioni dei sistemi industriali.

Il software non conforme può anche essere ritirato dal mercato, bloccando alcuni progetti o implementazioni in corso. Inoltre, i committenti e gli assicuratori richiedono ora garanzie di cybersecurity: senza un certificato CRA, i rinnovi potrebbero essere rifiutati e i premi aumentati in modo significativo.

Infine, in caso di incidente, l'utilizzo di un software non conforme può essere considerato una violazione della due diligence, con conseguente responsabilità diretta.

Con le soluzioni AVEVA, la fase del ciclo di vita è chiaramente definita (LTS/STS) e documentata pubblicamente. È possibile identificare con precisione la durata del supporto di sicurezza, gli aggiornamenti disponibili e le condizioni di fine vita. Questo garantisce che gli ambienti rimangano protetti nel tempo.

AVEVA applica un processo strutturato di gestione delle vulnerabilità con scadenze controllate: notifica rapida, pubblicazione di avvisi di sicurezza e fornitura di patch entro scadenze controllate. Questi impegni sono in linea con i requisiti del CRA.

Il software AVEVA si basa su un processo completo: monitoraggio continuo (CVE), valutazione del rischio (CVSS), definizione delle priorità e pubblicazione di avvisi di sicurezza. Questo sistema consente una gestione proattiva e documentata delle vulnerabilità nell'intero portafoglio.

AVEVA fornisce artefatti completi: portale di sicurezza dedicato, certificazioni (ISO 27001, IEC 62443), documentazione SDL sicuro, policy del ciclo di vita e avvisi di sicurezza. Questi elementi possono essere utilizzati direttamente per gli audit dei fornitori.

Le soluzioni industriali di AVEVA fanno parte di un approccio di conformità avanzato, che comprende la preparazione per la marcatura CE e l'allineamento ai requisiti dei sistemi critici (Livello II), con valutazione da parte di enti terzi.

Nel 2024 AVEVA ha rivisto la sua politica del ciclo vita per incorporare i requisiti CRA: trasparenza dei periodi di supporto, gestione delle vulnerabilità e pianificazione della migrazione. Questo approccio rende più facile anticipare gli audit e garantire la conformità.

AVEVA controlla tutti i suoi componenti di terze parti (open source e commerciali), fornisce la sBOM (software bill of materials), mantiene un inventario preciso e valuta continuamente la loro esposizione alle vulnerabilità. Questo controllo della supply chain è un elemento chiave della sua strategia di cybersecurity.

Le soluzioni AVEVA incorporano meccanismi di sicurezza nativi: autenticazione forte, gestione degli accessi, crittografia, registrazione e hardening della configurazione. Questo approccio "secure by design" limita la dipendenza da livelli esterni, oltre ad essere prerequisito esplicito della CRA.

AVEVA protegge i propri ambienti attraverso pipeline di sviluppo controllate, scansioni automatiche e audit regolari. L'obiettivo è quello di garantire l'integrità del software dalla concezione alla distribuzione.

Le soluzioni AVEVA forniscono una tracciabilità precisa di versioni, patch e aggiornamenti. Questa visibilità è essenziale per soddisfare i requisiti di audit e garantire una gestione rigorosa degli ambienti industriali.

AVEVA offre percorsi di migrazione strutturati, con una chiara visibilità delle versioni di destinazione e dei piani di transizione. Ciò consente di anticipare i cambiamenti senza interruzioni operative.

AVEVA ha adottato un approccio proattivo per l'allineamento con il CRA, compreso il mantenimento del supporto alla sicurezza e la preparazione per la marcatura CE. Le soluzioni AVEVA sono progettate per garantire standard di conformità sostenibile per gli ambienti industriali critici.