Etteplan ja CertX aloittavat kumppanuuden sulautettujen laitteiden ky­ber­tur­val­li­suu­den ser­ti­fioi­mi­seksi

Etteplan verkkouutinen 4.3.2021

Etteplan ja akkreditoitu sertifiointielin CertX AG ovat aloittaneet kumppanuuden Etteplanin tietoturvallisen tuotekehitysprosessin sertifioimiseksi erityisesti sulautettujen laitteiden ja operatiivisen teknologian eli OT-järjestelmien osalta. Sertifioidusta kehitysprosessista on hyötyä tulevien globaalien ja alueellisten kyberturvallisuussäädösten vuoksi. Niitä ollaan ottamassa käyttöön erityisesti Euroopan unionissa, mutta myös Yhdysvalloissa ja Kiinassa.

Kumppanuuden ansiosta Etteplan on alkanut soveltaa sulautettujen laitteiden kehitystyössä IEC 62443-4-1 ‑standardin mukaista turvallista tuotekehitysprosessia ja IEC 62443-4-2 ‑standardin mukaisia teknisen turvallisuuden vaatimuksia hyvissä ajoin ennen kuin vaatimuksista tulee pakollisia. CertX toimii Etteplanin kumppanina koulutuksissa sekä prosessien ja tuotteiden akkreditoidussa sertifioinnissa.

”Olemme Etteplanilla jo kiinnittäneet paljon huomiota siihen, että voimme tarjota asiakkaillemme sulautettujen laitteiden ja ohjelmistojen kehityspalvelua, jossa tietoturva on oleellisena osana. Turvallisesta kehitysprosessista tulee kuitenkin myös lakisääteinen markkinavaatimus vain muutaman vuoden kuluttua. Kyberturvallisuusvaatimukset tulevat koskemaan suurinta osaa asiakkaistamme, ja myös korkeamman teknisen turvallisuustason saavuttamiseksi on tarpeen suunnitella uusia tuotteita ja suunnitella nykyisiä tuotteita uudelleen”, sanoo myyntijohtaja Antti Tolvanen Etteplanin Ohjelmistot ja sulautetut ratkaisut ‑palvelualueelta.

Tulossa uusia säädöksiä ja sertifiointeja

EU:n uusia turvallisuussäädöksiä ovat NIS 2 ‑direktiiviehdotus, kyberturvallisuuden sertifiointijärjestelmiä koskeva kyberturvallisuusasetus ja radiolaitedirektiivi (RED). Yhdysvalloissa IoT:n kyberturvallisuuden parantamista koskevalla lailla säännellään vastaisuudessa, mitä laitteita Yhdysvaltain liittohallitus saa ostaa. Osa näistä vaatimuksista tulee todennäköisesti pakolliseksi vuodesta 2023 alkaen, erityisesti kriittisessä infrastruktuurissa käytettävien laitteiden ja ohjelmistojen osalta. EU:ssa myytäviä verkkoon liitettyjä laitteita koskevien horisontaalisten vaatimusten suunnitellaan tulevan pakollisiksi jo 2020-luvun loppuun mennessä. OT-järjestelmien turvallisuuden osalta perustana käytetään yleisesti IEC 62443-4 ‑standardeja, jotka on alun perin laadittu teollisuusautomaatiota varten. Standardit ovat pian pakollisia eräillä teollisuuden aloilla.

Etteplanin tavoitteena on saada IEC 62443-4-1 ‑sertifiointi vuoden 2021 loppuun mennessä. Ensimmäiseksi on järjestetty IEC 62443-4 ‑standardisarjaa koskevaa koulutusta kymmenille ohjelmisto- ja laitekehityksen asiantuntijoille Suomessa, Ruotsissa ja Puolassa.

Kouluttajana oli CertX AG. Se on sveitsiläinen akkreditoitu sertifiointielin, joka on erikoistunut toiminnalliseen turvallisuuteen ja kyberturvallisuuteen ja jonka sertifikaatit tunnustetaan maailmanlaajuisesti.

”Kyberturvallisuuskulttuurin kehittäminen organisaation kaikilla tasoilla on keskeinen tekijä, kun halutaan viime kädessä osoittaa turvallisen suunnittelun ja syväpuolustuksen periaatteiden soveltaminen. Kokonaisvaltaisessa lähestymistavassa on turvallisten teknologioiden ja luotettavien prosessien lisäksi otettava huomioon ihmisten valmiudet”, sanoo kyberturvallisuussertifioinnin päällikkö Kilian Marty CerX AG:sta.

”Toistaiseksi OT-järjestelmät ovat olleet kyberturvallisuudeltaan vähemmän kypsempiä kuin IT-järjestelmät. Kyberturvallisuus on ollut hyödyllinen lisäominaisuus, mutta nyt olemme siirtymässä säännellympään maailmaan. Esimerkiksi autoteollisuudessa vaatimuksista tulee pakollisia vuosina 2022–2024 ja tietoliikennealalla palveluntarjoajien on osoitettava, että niillä on turvalliset prosessit”, sanoo CertX AG:n toimitusjohtaja Jens Henkner.

Lisätietoja:
Outi Torniainen, markkinointi- ja viestintäjohtaja, Etteplan, puh. +358 10 307 3302