Penetrationsprovning av uppkopplade jordbruksrobotar och jordbruksmaskiner

Före tjänsten: Ni utvecklar en uppkopplad AI- eller robotlösning för jordbruk eller livsmedelsproduktion, men ni vet inte hur väl den skulle stå emot en cyberattack. Kunder, investerare och nya EU-regler frågar i allt högre grad hur produkten skyddas, och du har inga oberoende testresultat att visa. Efter tjänsten: Du får dokumenterade resultat om de sårbarheter som identifierats inom den överenskomna testomfattningen, hur allvarliga de är och i vilken ordning de ska åtgärdas. Ett penetrationstest kan inte visa att en produkt är fri från sårbarheter. Den visar vad som hittades inom den överenskomna omfattningen och tiden. Du har en oberoende testrapport från RISE som du kan använda i ditt utvecklingsarbete, i din riskbedömning och i diskussioner med kunder och partners. Beroende på vilka regler som gäller för din produkt kan resultaten också vara användbara när du förbereder dig för cybersäkerhetskrav som de i EU. Maskinförordning (EU) 2023/1230, som gäller från och med den 20 januari 2027, och cyberresiliensakten (EU) 2024/2847, vars rapporteringsskyldigheter för tillverkare gäller från och med den 11 september 2026 och vars huvudsakliga krav gäller från och med den 11 december 2027. Att hitta och åtgärda svagheter tidigt sparar pengar jämfört med att hantera en incident på fältet. Observera att tjänsten inte certifierar produkten eller bekräftar att den överensstämmer med någon förordning. För efterlevnadsstöd, se de relaterade tjänsterna nedan.

Penetrationstestet utförs med en RISE-metod baserad på Penetration Testing Execution Standard (PTES) i tre steg: · Planering: Tillsammans kommer vi överens om vad vi ska testa, typ av test, testfönster, säkerhetsåtgärder och vilken information och åtkomst du ska ge. · Testning: RISE simulerar realistiska attacker på de överenskomna delarna av din produkt, med hjälp av både automatiserade verktyg och manuell testning. · Rapportering: Du får en skriftlig rapport med resultat och rekommendationer. Varaktighet: Den inledande projektuppställningen, inklusive förberedelse av testmiljön, tar normalt en till två dagar. De huvudsakliga testaktiviteterna slutförs vanligtvis inom några dagar och eventuell uppföljande testning efteråt. Efter att alla testaktiviteter har slutförts tar rapportskrivnings- och granskningsprocessen vanligtvis cirka två veckor. Sammantaget tar tjänsten vanligtvis tre till fem veckor från projektinitiering till leverans av slutrapporten, beroende på produktens komplexitet och testningens omfattning. Plats: Testningen utförs i dina lokaler eller på distans där så är tillämpligt, förutsatt att den nödvändiga åtkomsten finns tillgänglig. Beroende på kundpreferenser, produktstorlek, komplexitet och andra praktiska överväganden kan testning också utföras helt eller delvis på RISE testlaboratorier. I förekommande fall kan hela systemet eller specifika delar av systemet utvärderas vid en RISE-testanläggning. Vilka kunder som kan få tjänsten inom agrifoodTEF följer projektets regler för stödberättigande. Tidpunkt: Testning av digitala system är i allmänhet inte knutet till växtsäsongen. Om bedömningen kräver maskiner som arbetar i fältmiljö planeras testschemat tillsammans med dig baserat på maskinens tillgänglighet och driftskrav. Vad du tillhandahåller: · Tillgång till den produkt som ska testas (maskinen, roboten eller en representativ testuppsättning), inklusive dess nätverksgränssnitt, appar och de molntjänster som omfattas · Teknisk dokumentation, såsom systemarkitektur, gränssnitt, programvaruversioner och konfiguration · Testkonton och eventuella referenser som behövs för de överenskomna testerna · En kontaktperson som samordnar testningen på din sida · Tillstånd från tredjepartsleverantörer vars system ingår i testet, till exempel moln- eller telekomtjänster · Stöd installation och installation av systemet · Källkod i specifika fall Vad du får: En skriftlig rapport som innehåller följande: · Den överenskomna testomfattningen, de testade produktversionerna och testets begränsningar · De identifierade sårbarheterna och hur allvarliga de är (till exempel betygsatta med CVSS) · Praktiska rekommendationer för hur de ska åtgärdas, i prioritetsordning · Insikter om hur produkten svarar på de simulerade attackerna Repetitioner: När du har åtgärdat sårbarheterna kan ett omtest avtalas separat för att bekräfta att korrigeringarna fungerar.

Tjänsten är anpassad till din produkt och dina behov. Exempel på alternativ: Vad man ska testa · Maskinen själv: styrenheter, interna maskinnätverk (t.ex. CAN-baserade nätverk), service- och diagnostikportar samt inbyggd programvara. · Trådlös kommunikation: Wi-Fi, Bluetooth, radiolänkar och fjärrkontroller. Appar, webbportaler och molntjänster som används för att styra maskinen eller för att hantera jordbruksdata, inklusive deras gränssnitt (API). · Anslutna sensorer och IoT-enheter som är en del av lösningen. Hur djupt att testa · Sårbarhetsskanning: Snabbare kontroll av kända svagheter. Även skanning kan påverka styrsystem och kommunikation, så eventuella effekter på maskinen bedöms under planeringen. · Full penetration test: realistiska angreppsscenarier, inklusive manuell testning och försök att utnyttja de svagheter som upptäckts. · Grå- eller white-box testning: Provaren måste få viss eller fullständig kunskap om systemet, t.ex. dokumentation och källkod, före provningen. Kombination med andra tjänster · Penetrationstestet kan kombineras med RISE:s tjänster för överensstämmelse med cybersäkerhetsstandarder och cybersäkerhetsregler (S00400), bedömning av överensstämmelse för robotmaskiner (S00009) och testning av GPS/GNSS-baserade produkter (S00372) och 4G/5G-ansluten utrustning (S00374). Begränsningar och vad du bör veta i förväg · Produktmognad: Produkten måste fungera, antingen i drift eller i en realistisk provningsuppställning. Prototyper kan testas, men begränsningarna är överenskomna i förväg. · Säkerhet: Tester som kan få en maskin att röra sig eller ändra sitt beteende utförs endast med överenskomna säkerhetsåtgärder, till exempel i ett slutet område utan människor eller djur i närheten. · Tredjepartssystem: molntjänster, telekomtjänster och andra tredjepartstjänster endast testas i den utsträckning som leverantören tillåter. · Egenutvecklade protokoll: Mycket kundanpassade system eller proprietära kommunikationsprotokoll kan kräva mer förberedelsetid. · Operativa begränsningar: tidigt berätta om begränsningar som begränsade testfönster eller perioder då maskinen inte får störas. · Ingår ej: fastställande av sårbarheter, certifiering eller bekräftelse på att produkten överensstämmer med en förordning. Rapporten ger rekommendationer för hur man fixar det som hittades.