Penetratietesten van aangesloten landbouwrobots en machines

Vóór de dienst: Je ontwikkelt een verbonden AI- of robotoplossing voor landbouw of voedselproductie, maar je weet niet hoe goed het bestand zou zijn tegen een cyberaanval. Klanten, investeerders en nieuwe EU-regelgeving vragen zich steeds vaker af hoe het product wordt beschermd en u hoeft geen onafhankelijke testresultaten te laten zien. Na de dienst: U ontvangt gedocumenteerde bevindingen over de kwetsbaarheden die binnen het overeengekomen testbereik zijn geïdentificeerd, hoe ernstig ze zijn en in welke volgorde ze kunnen worden verholpen. Een penetratietest kan niet aantonen dat een product vrij is van kwetsbaarheden; het laat zien wat er binnen de afgesproken reikwijdte en tijd is gevonden. Je hebt een onafhankelijk testrapport van RISE dat je kunt gebruiken in je ontwikkelwerk, in je risicobeoordeling en in gesprekken met klanten en partners. Afhankelijk van welke regels van toepassing zijn op uw product, kunnen de resultaten ook nuttige input zijn wanneer u zich voorbereidt op cyberbeveiligingsvereisten, zoals die in de EU. Machineverordening (EU) 2023/1230, die van toepassing is met ingang van 20 januari 2027, en de verordening cyberweerbaarheid (EU) 2024/2847, waarvan de rapportageverplichtingen voor fabrikanten van toepassing zijn met ingang van 11 september 2026 en waarvan de belangrijkste vereisten van toepassing zijn met ingang van 11 december 2027. Het vroegtijdig vinden en oplossen van zwakke punten bespaart geld in vergelijking met het omgaan met een incident in het veld. Houd er rekening mee dat de service het product niet certificeert of bevestigt dat het voldoet aan enige regelgeving; voor ondersteuning bij de naleving, zie de gerelateerde diensten hieronder.

De penetratietest wordt uitgevoerd met een RISE-methode op basis van de Penetration Testing Execution Standard (PTES), in drie stappen: · Planning: Samen bereiken we overeenstemming over wat te testen, het type test, testvensters, veiligheidsmaatregelen en welke informatie en toegang u verstrekt. · Het testen: RISE simuleert realistische aanvallen op de overeengekomen onderdelen van uw product, met behulp van zowel geautomatiseerde tools als handmatige tests. · Rapportage: U ontvangt een schriftelijk rapport met de resultaten en aanbevelingen. Duur: De initiële opzet van het project, inclusief de voorbereiding van de testomgeving, duurt normaal gesproken één tot twee dagen. De belangrijkste testactiviteiten worden meestal binnen enkele dagen afgerond en eventuele vervolgtests daarna. Nadat alle testactiviteiten zijn afgerond, duurt het proces voor het schrijven en beoordelen van rapporten meestal ongeveer twee weken. Alles bij elkaar duurt de dienst doorgaans drie tot vijf weken, van de start van het project tot de oplevering van het eindverslag, afhankelijk van de complexiteit van het product en de reikwijdte van de tests. Plaats: De tests worden uitgevoerd bij u op locatie of, indien van toepassing, op afstand, op voorwaarde dat de nodige toegang beschikbaar is. Afhankelijk van de voorkeuren van de klant, productgrootte, complexiteit en andere praktische overwegingen, kunnen tests ook gedeeltelijk of volledig worden uitgevoerd in RISE-testlaboratoria. In voorkomend geval kan het gehele systeem of specifieke delen van het systeem worden geëvalueerd in een RISE-testfaciliteit. Welke klanten de service binnen agrifoodTEF kunnen ontvangen, volgt de subsidiabiliteitsregels van het project. Tijdschema: Het testen van digitale systemen is over het algemeen niet gebonden aan het groeiseizoen. Als de beoordeling vereist dat machines in een veldomgeving werken, wordt het testschema samen met u gepland op basis van de beschikbaarheid van de machine en de operationele vereisten. Wat u verstrekt: · Toegang tot het te testen product (de machine, robot of een representatieve testopstelling), inclusief de netwerkinterfaces, apps en de clouddiensten in scope · Technische documentatie, zoals systeemarchitectuur, interfaces, softwareversies en configuratie · Testaccounts en eventuele referenties die nodig zijn voor de overeengekomen tests · Een contactpersoon die de tests aan uw zijde coördineert · Toestemming van externe providers waarvan de systemen in de test zijn opgenomen, bijvoorbeeld cloud- of telecomdiensten · Ondersteuning voor installatie en installatie van het systeem · Broncode in specifieke gevallen Wat u ontvangt: een schriftelijk verslag dat het volgende bevat: · De overeengekomen testomvang, de geteste productversies en de beperkingen van de test · De geïdentificeerde kwetsbaarheden en hoe ernstig ze zijn (bijvoorbeeld beoordeeld met CVSS) · Praktische aanbevelingen voor het oplossen ervan, in volgorde van prioriteit · Inzicht in hoe het product reageert op de gesimuleerde aanvallen Herhalingen: nadat u de kwetsbaarheden hebt opgelost, kan een hertest afzonderlijk worden overeengekomen om te bevestigen dat de fixes werken.

De service is aangepast aan uw product en behoeften. Voorbeelden van opties: Wat te testen · De machine zelf: regeleenheden, interne machinenetwerken (bijvoorbeeld CAN-netwerken), service- en diagnosepoorten en firmware. · Draadloze communicatie: Wi-Fi, Bluetooth, radioverbindingen en afstandsbedieningen. Apps, webportalen en clouddiensten die worden gebruikt om de machine te besturen of om landbouwgegevens te verwerken, inclusief hun interfaces (API's). Verbonden sensoren en IoT-apparaten die deel uitmaken van de oplossing. Hoe diep te testen · Vulnerability scanning: een snellere controle op bekende zwakke punten. Zelfs scannen kan van invloed zijn op besturingssystemen en communicatie, dus mogelijke effecten op de machine worden tijdens de planning beoordeeld. · Volledige penetratietest: realistische aanvalsscenario's, met inbegrip van handmatige tests en pogingen om de gevonden zwakke punten te benutten. · Grijs- of white-box testen: de tester moet vóór de test beschikken over enige of volledige kennis van het systeem, bijvoorbeeld documentatie en broncode. Combinatie met andere diensten · De penetratietest kan worden gecombineerd met de diensten van RISE voor de naleving van cyberbeveiligingsnormen en -voorschriften (S00400), conformiteitsbeoordeling voor robotmachines (S00009) en het testen van op GPS/GNSS gebaseerde producten (S00372) en op 4G/5G aangesloten apparatuur (S00374). Beperkingen en wat u van tevoren moet weten · Productvolwassenheid: het product moet werken, hetzij in bedrijf, hetzij in een realistische testopstelling. Prototypes kunnen getest worden, maar de beperkingen worden vooraf afgesproken. · Veiligheid: tests die een machine kunnen doen bewegen of het gedrag ervan kunnen veranderen, worden alleen uitgevoerd onder overeengekomen veiligheidsmaatregelen, bijvoorbeeld in een gesloten ruimte zonder mensen of dieren in de buurt. · Systemen van derden: cloud-, telecom- en andere diensten van derden worden alleen getest voor zover de provider dit toestaat. · Eigen protocollen: sterk op maat gemaakte systemen of eigen communicatieprotocollen kunnen meer voorbereidingstijd vergen. · Operationele beperkingen: Vertel ons vroeg over beperkingen zoals beperkte testvensters of perioden waarin de machine niet mag worden gestoord. · Niet inbegrepen: het verhelpen van de kwetsbaarheden, certificering of bevestiging dat het product voldoet aan een verordening. Het rapport geeft aanbevelingen voor het oplossen van wat er is gevonden.