Gennemtrængningstest af forbundne landbrugsrobotter og -maskiner

Før tjenesten: Du udvikler en forbundet AI- eller robotløsning til landbrug eller fødevareproduktion, men du ved ikke, hvor godt den kan modstå et cyberangreb. Kunder, investorer og nye EU-regler spørger i stigende grad, hvordan produktet er beskyttet, og du har ingen uafhængige testresultater at vise. Efter servicen: Du modtager dokumenterede resultater om de sårbarheder, der er identificeret inden for det aftalte testomfang, hvor alvorlige de er, og i hvilken rækkefølge de skal rettes. En penetrationstest kan ikke vise, at et produkt er fri for sårbarheder. den viser, hvad der blev fundet inden for det aftalte anvendelsesområde og den aftalte tid. Du har en uafhængig testrapport fra RISE, som du kan bruge i dit udviklingsarbejde, i din risikovurdering og i diskussioner med kunder og partnere. Afhængigt af hvilke regler der gælder for dit produkt, kan resultaterne også være nyttige input, når du forbereder dig på cybersikkerhedskrav som f.eks. dem i EU. Maskinforordning (EU) 2023/1230, som finder anvendelse fra den 20. januar 2027, og retsakten om cyberrobusthed (EU) 2024/2847, hvis indberetningsforpligtelser for fabrikanter finder anvendelse fra den 11. september 2026, og hvis hovedkrav finder anvendelse fra den 11. december 2027. At finde og rette svagheder tidligt sparer penge sammenlignet med at håndtere en hændelse i marken. Bemærk venligst, at tjenesten ikke certificerer produktet eller bekræfter, at det overholder nogen regulering; for overholdelsessupport, se de relaterede tjenester nedenfor.

Penetrationstesten udføres med en RISE-metode baseret på Penetration Testing Execution Standard (PTES) i tre trin: · Planlægning: Sammen bliver vi enige om, hvad der skal testes, typen af test, testvinduer, sikkerhedsforanstaltninger og hvilke oplysninger og adgang du vil give. · Testning: RISE simulerer realistiske angreb på de aftalte dele af dit produkt ved hjælp af både automatiserede værktøjer og manuel testning. · Rapportering: Du modtager en skriftlig rapport med resultater og anbefalinger. Varighed: Den indledende projektopsætning, herunder forberedelse af testmiljøet, tager normalt en til to dage. De vigtigste testaktiviteter afsluttes normalt inden for få dage og potentielle opfølgende test bagefter. Når alle testaktiviteter er afsluttet, tager rapportskrivnings- og gennemgangsprocessen typisk omkring to uger. Alt i alt tager tjenesten typisk tre til fem uger fra projektstart til levering af den endelige rapport, afhængigt af produktets kompleksitet og testens omfang. Beliggenhed: Testen udføres hos dig eller på afstand, hvor det er relevant, forudsat at den nødvendige adgang er tilgængelig. Afhængigt af kundernes præferencer, produktstørrelse, kompleksitet og andre praktiske overvejelser kan test også udføres helt eller delvist på RISE-testlaboratorier. Hvor det er relevant, kan hele systemet eller specifikke dele af systemet evalueres på et RISE-prøvningsanlæg. Hvilke kunder der kan modtage tjenesten inden for agrifoodTEF følger projektets støtteberettigelsesregler. Tidspunkt: Test af digitale systemer er generelt ikke bundet til vækstsæsonen. Hvis vurderingen kræver maskiner, der opererer i et feltmiljø, planlægges testplanen sammen med dig baseret på maskintilgængelighed og driftskrav. Hvad du giver: · Adgang til det produkt, der skal testes (maskinen, robotten eller en repræsentativ testopsætning), herunder dens netværksgrænseflader, apps og de cloud-tjenester, der er omfattet · Teknisk dokumentation, såsom systemarkitektur, grænseflader, softwareversioner og konfiguration · Testkonti og eventuelle legitimationsoplysninger, der er nødvendige for de aftalte tests · En kontaktperson, der koordinerer testen på din side · Tilladelse fra tredjepartsudbydere, hvis systemer er inkluderet i testen, f.eks. cloud- eller telekommunikationstjenester · Supportinstallation og opsætning af systemet · Kildekode i specifikke tilfælde Hvad du modtager: en skriftlig rapport, der indeholder: · Det aftalte testomfang, de testede produktversioner og testens begrænsninger · De identificerede sårbarheder og hvor alvorlige de er (f.eks. vurderet med CVSS) · Praktiske anbefalinger til, hvordan de løses, i prioriteret rækkefølge · Indsigt i, hvordan produktet reagerer på de simulerede angreb Gentagelser: Når du har rettet sårbarhederne, kan der aftales en ny test separat for at bekræfte, at rettelserne virker.

Tjenesten er tilpasset dit produkt og dine behov. Eksempler på muligheder: Hvad skal man teste · Selve maskinen: kontrolenheder, interne maskinnetværk (f.eks. CAN-baserede netværk), service- og diagnoseporte og firmware. · Trådløs kommunikation: Wi-Fi, Bluetooth, radioforbindelser og fjernbetjeninger. · Apps, webportaler og cloud-tjenester, der bruges til at styre maskinen eller håndtere bedriftsdata, herunder deres grænseflader (API'er). · Tilsluttede sensorer og IoT-enheder, der er en del af løsningen. Hvor dybt skal man teste · Sårbarhedsscanning: hurtigere kontrol af kendte svagheder. Selv scanning kan påvirke styresystemer og kommunikation, så mulige effekter på maskinen vurderes under planlægningen. · Fuld penetration test: realistiske angrebsscenarier, herunder manuel testning og forsøg på at udnytte de konstaterede svagheder. · Grå- eller white-box test: testeren skal have et vist eller fuldt kendskab til systemet, f.eks. dokumentation og kildekode før testen. Kombination med andre tjenester · Penetrationstesten kan kombineres med RISE's tjenester for overholdelse af cybersikkerhedsstandarder og -forskrifter (S00400), overensstemmelsesvurdering for robotmaskiner (S00009) og test af GPS/GNSS-baserede produkter (S00372) og 4G/5G-tilsluttet udstyr (S00374). Begrænsninger og hvad du bør vide på forhånd · Produktmodenhed: produktet skal fungere, enten i drift eller i en realistisk prøvningsopstilling. Prototyper kan testes, men begrænsningerne er aftalt på forhånd. · Sikkerhed: Test, der kan få en maskine til at bevæge sig eller ændre adfærd, udføres kun under aftalte sikkerhedsforanstaltninger, f.eks. i et lukket område uden mennesker eller dyr i nærheden. · Tredjepartssystemer: cloud-, telekommunikations- og andre tredjepartstjenester testes kun i det omfang, udbyderen tillader det. · Proprietære protokoller: højt tilpassede systemer eller proprietære kommunikationsprotokoller kan kræve mere forberedelsestid. · Operationelle begrænsninger: fortæl os tidligt om begrænsninger såsom begrænsede testvinduer eller perioder, hvor maskinen ikke må forstyrres. · Ikke inkluderet: afhjælpning af sårbarheder, certificering eller bekræftelse af, at produktet overholder en forordning. Rapporten indeholder anbefalinger til, hvordan man løser det, der blev fundet.