Das Problem
In der Software einer Maschine stecken zahlreiche fremde Bibliotheken: im Betriebssystem, in den Containern, in der Bedien-App. Wird in einer davon eine Schwachstelle bekannt, müssen Sie wissen, ob Ihre Maschinen betroffen sind, und ein Update liefern.
Bei vielen Herstellern hängt das an einzelnen Personen. Welche Version wo läuft, steht in keiner Liste. Updates werden eingespielt, wenn ohnehin ein Techniker vor Ort ist. Der Cyber Resilience Act macht daraus eine Pflicht mit Fristen und einem Unterstützungszeitraum, der in der Regel mindestens fünf Jahre beträgt.
SBOM, Schwachstellen-Scans und Sicherheitsupdates
Jede Auslieferung erzeugt in der Build-Pipeline automatisch eine Software-Stückliste (SBOM). Damit ist für jede Version dokumentiert, was drinsteckt.
Die Pipeline prüft jede Version gegen bekannte Schwachstellen, und die Prüfung läuft danach weiter, auch für Versionen, die schon im Feld sind. Jeden Treffer bewerten wir danach, ob die betroffene Funktion erreichbar ist und wie dringend ein Update ist. Als Ergänzung setzen wir KI-gestützte Prüfungen von Code und Abhängigkeiten ein, mit Werkzeugen nach Absprache.
Ist ein Update nötig, bauen und testen wir es und rollen es per OTA aus. Das Geräteinventar zeigt, welche Geräte es schon haben. Die Protokolle halten fest, welche Version wann auf welchem Gerät angekommen ist.
Was Sie bekommen
- eine Pipeline, die zu jeder Version SBOM und Schwachstellenbericht erzeugt
- einen festgelegten Ablauf, wie mit gefundenen Schwachstellen umgegangen wird
- Sicherheitsupdates, gebaut, getestet und ausgerollt
- einen regelmäßigen Bericht über den Stand Ihrer Flotte
- auf Wunsch als laufende Leistung über den Unterstützungszeitraum
Grenzen
Wir setzen technische Anforderungen in Software um. Ob Ihr Produkt konform ist, beurteilen Ihre Rechts- und Normenexperten oder eine benannte Stelle. Rechtsberatung, Risikobeurteilung nach Maschinenverordnung, CE-Kennzeichnung und Zertifizierungen bieten wir nicht an, einen Bereitschaftsdienst rund um die Uhr ebenfalls nicht.