Secure Development Lifecycle (SDL)
Doppelte IEC-62443-4-1-ML3-Zertifizierung für Moxa
Gleich zwei Zertifizierungen nach IEC 62443-4-1 Maturity Level 3 (ML3) bestätigen den Secure Development Lifecycle (SDL) von Moxa für industrielle Kommunikationslösungen.
Die Zertifizierungen durch das IECEE Certification Body Scheme und das ISA Security Compliance Institute (ISCI/ISASecure) bescheinigen, dass der Hersteller Sicherheitsprozesse für die Entwicklung industrieller Kommunikations- und Netzwerklösungen unternehmensweit etabliert hat.
Sichere Entwicklung nach IEC 62443
Die IEC-62443-4-1-Zertifizierung auf Reifegrad ML3 bestätigt, dass Moxa einen standardisierten Secure Development Lifecycle eingeführt und im gesamten Unternehmen verankert hat. Dazu gehören unter anderem verpflichtendes Threat Modeling, Risiko-Traceability, ein formalisierter Product Security Incident Response Process (PSIRT), kontinuierliches Schwachstellen- und Patch-Management sowie Maßnahmen zur Absicherung der Lieferkette.
Ergänzend bestätigt die ISASecure-SDLA-Zertifizierung, dass diese Prozesse nicht nur dokumentiert, sondern auch unabhängig auditiert und praktisch umgesetzt werden. Damit soll sichergestellt werden, dass Sicherheitslücken über den gesamten Produktlebenszyklus hinweg identifiziert und mit entsprechenden Updates adressiert werden.
Unterstützung regulatorischer Anforderungen
Der standardisierte Entwicklungsprozess vereinfacht auch die Umsetzung neuer regulatorischer Vorgaben wie des europäischen Cyber Resilience Act (CRA). Dieser verlangt unter anderem, dass Produkte bereits während der Entwicklung nach Sicherheitsprinzipien gestaltet werden und Hersteller über den gesamten Lebenszyklus Maßnahmen für Schwachstellenmanagement und Sicherheitsupdates nachweisen können.
Moxa investiert nach eigenen Angaben bereits seit 2016 in die Umsetzung des IEC-62443-Frameworks. Ziel sei es, IT- und OT-Sicherheit stärker zu verzahnen und damit den Einsatz der Kommunikations- und Netzwerkprodukte in kritischen Infrastrukturen zu unterstützen. Nach Unternehmensangaben können dadurch Sicherheitsbewertungen vereinfacht und langfristige Industrieprojekte mit Produktlebenszyklen von zehn bis 20 Jahren unterstützt werden.