A francia l’Agence nationale de la sécurité des systemes d’information (ANSSI) a május 16-i héten adta ki azt a tanúsítást, amely szerint a Siemens S7-1500 típusú PLC berendezések teljesítik az ANSSI védelmi profiljában előírt, rövid távú biztonsági követelményeket. Az ANSSI védelmi profilja nem keverendő a Common Criteria Protection Profile-lal, de az alapelvek mindkettő esetén azonosak. A tanúsításra törekedő szervezetnek meg kell fogalmazni egy biztonsági célt és meg kell jelölnie, hogyan fogja teljesíteni a védelmi profil követelményeit. A konkrét esetben a cél az volt, hogy egy, már a felügyeleti hálózatba bejutott támadótól legyenek képesek megvédeni a PLC-t, a feladat sikeres végrehajtását egy független harmadik fél, az Amossys (francia kiberbiztonsági vállalat) ellenőrizte.

A vizsgált védelmi profil biztonsági követelményei között szerepel az aláírt firmware és a biztonságos boot-olás követelménye, a szándékosan hibás formátumú adatbevitel megfelelő kezelése valamint az authentikációs adatok és kulcsok biztonságos tárolása PLC-ken. Mindezek a követelmények (ahogy korábban már én is említettem), a rövid távú biztonsági követelményeket tartalmazó védelmi profilban vannak megadva, emellett létezik egy középtávú védelmi profil is, amiben megjelenik a naplóbejegyzések és riasztások integrált kezelése. A Siemens mellett más ipari berendezéseket gyártó vállalat is részt vett a védelmi profilok megalkotásában, többek között a Belden, a Phoenix Contact és a Schneider Electric, így minden bizonnyal a jövőben több gyártó termékeinél találkozhatunk majd ANSSI tanúsítványokkal.

A rövid távú védelmi profil részletes, 11 oldalas leírása itt érhető el (angol nyelven).