Pruebas de penetración de robots y maquinaria agrícolas conectados

Antes del servicio: Está desarrollando una IA conectada o una solución robótica para la agricultura o la producción de alimentos, pero no sabe qué tan bien resistiría un ciberataque. Los clientes, los inversores y las nuevas regulaciones de la UE preguntan cada vez más cómo está protegido el producto, y no tiene resultados de pruebas independientes que mostrar. Después del servicio: Recibe hallazgos documentados sobre las vulnerabilidades identificadas dentro del alcance de la prueba acordada, qué tan graves son y en qué orden corregirlas. Una prueba de penetración no puede demostrar que un producto está libre de vulnerabilidades; muestra lo que se encontró dentro del alcance y el tiempo acordados. Tiene un informe de prueba independiente de RISE que puede usar en su trabajo de desarrollo, en su evaluación de riesgos y en discusiones con clientes y socios. Dependiendo de las normas que se apliquen a su producto, los resultados también pueden ser útiles cuando se prepare para los requisitos de ciberseguridad, como los de la UE. Reglamento (UE) 2023/1230 sobre máquinas, que se aplica a partir del 20 de enero de 2027, y Reglamento de Ciberresiliencia (UE) 2024/2847, cuyas obligaciones de notificación para los fabricantes se aplican a partir del 11 de septiembre de 2026 y cuyos principales requisitos se aplican a partir del 11 de diciembre de 2027. Encontrar y corregir las debilidades anticipadamente ahorra dinero en comparación con lidiar con un incidente en el campo. Tenga en cuenta que el servicio no certifica el producto ni confirma que cumple con ninguna regulación; para el soporte de cumplimiento, consulte los servicios relacionados a continuación.

La prueba de penetración se lleva a cabo con un método RISE basado en el Estándar de Ejecución de Pruebas de Penetración (PTES), en tres pasos: · Planificación: Juntos acordamos qué probar, el tipo de prueba, las ventanas de prueba, las precauciones de seguridad y qué información y acceso proporcionará. · Pruebas: RISE simula ataques realistas en las partes acordadas de su producto, utilizando herramientas automatizadas y pruebas manuales. · Presentación de informes: Usted recibe un informe escrito con los resultados y recomendaciones. Duración: La configuración inicial del proyecto, incluida la preparación del entorno de prueba, normalmente toma de uno a dos días. Las principales actividades de prueba generalmente se completan en unos pocos días y las posibles pruebas de seguimiento después. Después de que se hayan finalizado todas las actividades de prueba, el proceso de redacción y revisión del informe generalmente toma alrededor de dos semanas. En general, el servicio tarda de tres a cinco semanas desde el inicio del proyecto hasta la entrega del informe final, dependiendo de la complejidad del producto y el alcance de las pruebas. Ubicación: Las pruebas se llevan a cabo en sus instalaciones o a distancia, en su caso, siempre que se disponga del acceso necesario. Dependiendo de las preferencias del cliente, el tamaño del producto, la complejidad y otras consideraciones prácticas, las pruebas también se pueden realizar parcial o totalmente en los laboratorios de pruebas RISE. Cuando proceda, todo el sistema o partes específicas del sistema pueden evaluarse en una instalación de ensayo RISE. Qué clientes pueden recibir el servicio dentro de agrifoodTEF sigue las reglas de elegibilidad del proyecto. Calendario: Las pruebas de sistemas digitales generalmente no están vinculadas a la temporada de crecimiento. Si la evaluación requiere que la maquinaria funcione en un entorno de campo, el programa de pruebas se planifica junto con usted en función de la disponibilidad de la máquina y los requisitos operativos. Lo que usted proporciona: · Acceso al producto a probar (la máquina, el robot o una configuración de prueba representativa), incluidas sus interfaces de red, aplicaciones y los servicios en la nube en el alcance · Documentación técnica, como arquitectura del sistema, interfaces, versiones de software y configuración · Cuentas de prueba y cualquier credencial necesaria para las pruebas acordadas · Una persona de contacto que coordina las pruebas de su lado · Permiso de terceros proveedores cuyos sistemas están incluidos en la prueba, por ejemplo, servicios en la nube o de telecomunicaciones · Soporte de instalación y configuración del sistema · Código fuente en casos específicos Lo que recibe: un informe escrito que incluya: · El alcance de la prueba acordada, las versiones de producto probadas y las limitaciones de la prueba · Las vulnerabilidades identificadas y su gravedad (por ejemplo, calificadas con CVSS) · Recomendaciones prácticas sobre cómo solucionarlos, por orden de prioridad · Perspectivas sobre cómo responde el producto a los ataques simulados Repetición: Después de que haya corregido las vulnerabilidades, se puede acordar una nueva prueba por separado para confirmar que las correcciones funcionan.

El servicio se adapta a su producto y necesidades. Ejemplos de opciones: Qué probar · La máquina en sí: unidades de control, redes internas de máquinas (por ejemplo, redes basadas en CAN), puertos de servicio y diagnóstico, y firmware. · Comunicación inalámbrica: Wi-Fi, Bluetooth, enlaces de radio y controles remotos. Aplicaciones, portales web y servicios en la nube utilizados para controlar la máquina o para manejar datos de la granja, incluidas sus interfaces (API). · Sensores conectados y dispositivos IoT que forman parte de la solución. Qué tan profundo para probar · Escaneo de vulnerabilidades: un control más rápido de las debilidades conocidas. Incluso el escaneo puede afectar los sistemas de control y la comunicación, por lo que los posibles efectos en la máquina se evalúan durante la planificación. · Prueba de penetración completa: escenarios de ataque realistas, incluyendo pruebas manuales e intentos de explotar las debilidades encontradas. · Pruebas de caja gris o blanca: el verificador debe tener un conocimiento total o parcial del sistema, por ejemplo, la documentación y el código fuente antes de la prueba. Combinación con otros servicios · La prueba de penetración puede combinarse con los servicios de RISE para el cumplimiento de las normas y reglamentos de ciberseguridad (S00400), la evaluación del cumplimiento de las máquinas robóticas (S00009) y las pruebas de productos basados en GPS/GNSS (S00372) y equipos conectados 4G/5G (S00374). Limitaciones y lo que debes saber de antemano · Madurez del producto: el producto debe estar funcionando, ya sea en funcionamiento o en una configuración de prueba realista. Los prototipos se pueden probar, pero las limitaciones se acuerdan de antemano. · Seguridad: las pruebas que puedan hacer que una máquina se mueva o cambie su comportamiento solo se lleven a cabo con arreglo a las precauciones de seguridad acordadas, por ejemplo, en una zona cerrada sin personas ni animales cerca. · Sistemas de terceros: La nube, las telecomunicaciones y otros servicios de terceros solo se prueban en la medida en que el proveedor lo permita. · Protocolos de propiedad: Los sistemas altamente personalizados o los protocolos de comunicación patentados pueden requerir más tiempo de preparación. · Limitaciones operativas: infórmenos con anticipación sobre restricciones tales como ventanas de prueba limitadas o períodos en los que la máquina no debe ser molestada. · No incluido: corregir las vulnerabilidades, la certificación o la confirmación de que el producto cumple con un reglamento. El informe da recomendaciones sobre cómo arreglar lo que se encontró.