Säkerhet i inbyggda system – ett val eller ett måste?
Den senaste tiden har betydelsen av säkerhet i teknikvärlden ökat kraftigt. För de flesta av oss är det ett påtagligt sätt att förhindra fel och andra problem som kan uppstå när vi använder moderna enheter. Det finns en uppfattning på marknaden att den här frågan främst gäller IoT-enheter (Internet of Things) och att lösningen i sig ofta betraktas som valfri. Ett stort antal företag som utvecklar inbyggda system fokuserar enbart på att säkra den installerade programvaran från obehörig åtkomst eller kopiering. Andra problem som rör skydd av insamlade data, kalibreringsdata och konfigurationsdata ignoreras ofta. Det är dock viktigt att komma ihåg att systemen idag blir alltmer sammankopplade, utbyter allt större datamängder och ömsesidigt påverkar beslutsprocessen kring styrningen. Men är detta rätt strategi?
Cyberhoten ökar
I takt med den tekniska utvecklingen på marknaden för inbyggda system ser vi en oroande ökning av cyberbrottslighet, allt från industrispionage till hackerattacker och systemintrång. Rapporten ”ENISA Threat Landscape 2023” visar på en betydande ökning av incidenter jämfört med tidigare år. Enligt tidningen Forbes kommer de globala kostnaderna för cyberattacker att överstiga 10,5 biljoner USD år 2023.
Inbyggda system som effektiviserar våra dagliga arbetsuppgifter spelar en allt viktigare roll i våra liv. Användningen av dem innebär att stora mängder data genereras, inklusive beräkningsresultat, inställningar, inloggningsuppgifter, källkoder eller beteendemönster. Det finns en risk att dessa data hamnar i orätta händer genom hackning, vilket kan leda till missbruk eller fullständig kontroll över systemet.
(O)säkra enheter?
Många användare tror att deras enheter är säkra eftersom de inte samlar in information som kan vara värdefull för potentiella inkräktare. Detta gäller särskilt produkter som är installerade på svåråtkomliga platser eller som inte är anslutna till andra enheter. Men det kan inte vara längre från sanningen. Cyberbrottslingar kan få obehörig åtkomst till enskilda enheter och komplexa system genom olika överföringsportar, skärmar, tangentbord, signalelement och radiokommunikationskomponenter.
Till och med till synes enkla enheter som garagedörröppnare eller belysningskontroller samlar in data som t.ex. öppnings- och stängningstider eller när någon är hemma. Även om denna information verkar trivial kan den vara en värdefull kunskapskälla för dem som vill utnyttja den. Därför är det viktigt att implementera säkerhetsåtgärder, även för enkla system.
Säkerhetsguide
Osäkerhet bland företag som inför säkerhetsprotokoll för inbyggda system beror ofta på att de inte känner till eller förstår normer, standarder och rättsliga bestämmelser. Oavsett vilken typ av verksamhet företaget bedriver och inom vilken sektor det verkar bör det första steget alltid vara att bekanta sig med relevanta riktlinjer.
Standarder för säkerhetsprinciper
Det finns massor av standarder för säkerhetsprinciper som ska implementeras i elektronisk utrustning. Huvudsyftet med dessa standarder är att beskriva de processer som är relaterade till utformning, implementering, underhåll, hantering och övervakning av hot och sårbarheter, med tonvikt på säkerhet. Förutom att ge allmän vägledning är dessa standarder avsedda att fungera som källor till bästa praxis för att säkerställa högsta möjliga skyddsnivå.
I diagrammet nedan presenteras en lista över de viktigaste standarderna för inbyggda enheter inom olika sektorer. Vissa standarder fokuserar på IoT-system, andra täcker hela systemet, medan de återstående beskriver säkerhetsrelaterade ämnen mer generellt.
Bild 1. Populära normer och standarder gällande säkerhet.
Ofta har företagen svårt att välja en standard som passar just deras utrustning. Därefter försöker de utveckla säkerhetsprocedurer på egen hand, med utgångspunkt från lämpliga delar av olika tillgängliga standarder. – Felaktig analys på grund av otillräcklig kunskap och brådska kan avsevärt hindra och i värsta fall till och med förhindra effektiv implementering av nödvändiga normer – säger Monika Jaworowska, Embedded Competency Center Director på Sii. – Därför är det värt att söka hjälp från erfarna specialister inom säkerhet för inbyggda system, vars expertis gör det möjligt att förstå och tillämpa rätt standarder som är anpassade till specifika branschkrav och processer – tillägger hon.
Bestämmelser om säkerhetsprinciper
I EU, USA och Storbritannien har det pågått ett intensivt arbete med att införa nya lagbestämmelser om säkerhetsprinciper. Vissa har redan trätt i kraft, medan andra fortfarande är under utarbetande. EU har också antagit en säkerhetsstrategi som till stor del bygger på befintliga normer och standarder.
År 2025 införs EU-RED-direktivet, som omfattar elektroniska enheter som är utrustade med trådlösa kommunikationsfunktioner som Bluetooth, WiFi eller Zigbee. År 2027 träder sedan EU-CRA-direktivet i kraft, vilket innebär att säkerhetsprinciper ska tillämpas och genomföras i alla elektroniska enheter med en digital styrenhet. I Storbritannien kommer skyldigheter som regleras av UK-PSTI att införas inom ett år.
De flesta av de implementerade bestämmelserna innehåller eller kommer att innehålla en övergångsperiod som varar från flera månader till flera år, vilket gör det möjligt för företag att anpassa sina produkter till de nya bestämmelserna. Den föreslagna tidsramen är dock mycket kort jämfört med omfattningen av det arbete som ska utföras, så det är lämpligt att påbörja implementeringen så snart som möjligt.
När är det nödvändigt att införa säkerhetsprinciper?
Med tanke på den snabba utvecklingen av inbyggda system är det inte längre tillräckligt att bara konstruera enheter som uppfyller en förutbestämd logik. Säkerhetsmedvetenheten ökar, vilket gör att kunderna noggrant måste bedöma om en produkt uppfyller standarder och normer innan de fattar ett köpbeslut.
Många företag tror att de kan ta itu med säkerhet efter att de har förberett för produktion och försäljning. Så är tyvärr inte fallet. Säkerheten bör integreras sömlöst genom hela utvecklingsprocessen och får inte negligeras i något skede. Säkerhetsprinciperna måste genomsyra den slutliga produkten. Detta innebär att man måste genomföra risk- och sårbarhetsanalyser och identifiera alla element och data som kan bli föremål för attacker. Dessutom är det lämpligt att införa metoder för ”säker kodning” och utforma programvaran med potentiella hot i åtanke.
Naturligtvis finns det möjlighet att implementera säkerhetsprinciper i ett senare skede. Detta medför dock extra kostnader, förlängda tidsramar och omkonstruktion av systemet. Om man å andra sidan vidtar åtgärder redan från början av projektet får man betydande fördelar både när det gäller effektivitet och kostnader.
\Bild 2. För- och nackdelar med att implementera säkerhetsprinciper
Investera i kvalitet och företagets rykte
Säkerhet i inbyggda system är inte ett lätt ämne. Med tanke på den alarmerande ökningen och omfattningen av cyberbrottslighet är det inte längre ett val att minska hoten, utan ett absolut måste. Genom att implementera säkerhetsprinciper skyddar företagen känsliga data från obehörig åtkomst, minimerar risken för fel, attacker och fel samt säkerställer användarnas säkerhet och komfort. Detta främjar i sin tur förtroende och lojalitet bland kunderna.
Vill du veta mer om säkerhet i inbyggda system? Kontakta experterna på Sii.
