Ciberseguridad en ELHA

Esta página se ha traducido automáticamente.

Las máquinas-herramienta modernas están conectadas en red: proporcionan datos para la supervisión del estado y la planificación de la producción, reciben actualizaciones y pueden someterse a mantenimiento a distancia. Esto hace que la fabricación sea más eficiente, pero también plantea nuevos retos en materia de seguridad. Un ataque al sistema de control de una máquina no solo puede afectar a los datos, sino también detener la producción o poner en peligro a las personas. Por eso, para nosotros, la ciberseguridad es una parte integral del desarrollo de productos.

Nuestro enfoque

Tenemos en cuenta los requisitos de seguridad desde el principio en el desarrollo de nuestras máquinas, sistemas de control y software. Esto incluye un proceso de desarrollo seguro, la protección de los programas de control frente al acceso y la modificación no autorizados, así como la comprobación periódica de los componentes de software utilizados para detectar vulnerabilidades conocidas. Si se detectan vulnerabilidades de seguridad, facilitamos actualizaciones para los productos a los que ofrecemos soporte e informamos a los clientes afectados a través de nuestros avisos de seguridad.

Qué puede hacer usted como operador

La seguridad es una responsabilidad compartida entre el fabricante y el operador. Recomendamos utilizar las máquinas en una red de producción separada de la red de oficinas, permitir el acceso remoto únicamente a través de conexiones seguras y activadas cuando sea necesario, cambiar las contraseñas predeterminadas e instalar las actualizaciones disponibles lo antes posible. Nuestro servicio estará encantado de ayudarle a integrar de forma segura sus máquinas en su entorno informático.

¿Se ha detectado una vulnerabilidad?

Si ha detectado una posible vulnerabilidad en alguno de nuestros productos o servicios, le rogamos que la comunique a cra@elha.de. Para envíos confidenciales, puede utilizar nuestra clave PGP:

Clave: https://elha.de/.well-known/pgp-key.txt
Huellas digitales: 55C84D85E8E2DBAE9ADCEFEC5853F383B89F50CE

En nuestra política sobre la notificación de vulnerabilidades de seguridad se describe cómo gestionamos las notificaciones y qué esperamos de quienes las envían. Además, nuestros datos de contacto figuran en formato legible por máquina en nuestra security.txt. Damos las gracias a todos aquellos que nos ayudan, de forma responsable, a hacer que nuestros productos sean más seguros.

Con la Ley de Resiliencia Cibernética (CRA), la Unión Europea ha establecido requisitos vinculantes de ciberseguridad para los productos que contienen elementos digitales. Aplicamos estos requisitos a nuestros productos, entre otras cosas, mediante un proceso establecido para la gestión de vulnerabilidades, el suministro de actualizaciones de seguridad durante el periodo de soporte de 10 años y la notificación oportuna a las autoridades competentes de las vulnerabilidades que están siendo explotadas activamente.

En esta sección encontrará los avisos de seguridad públicos de ELHA.

La seguridad de nuestras máquinas, nuestro software y nuestros servicios en línea es una prioridad fundamental para ELHA-MASCHINENBAU. Agradecemos cualquier información que nos faciliten los investigadores en materia de seguridad, los clientes y los socios, ya que nos ayuda a detectar y subsanar los puntos débiles.

Ámbito de aplicación: La presente directiva se aplica al software y al firmware de las máquinas-herramienta ELHA, así como a sus sistemas de control, a nuestro software IIoT y a los servicios web disponibles en elha.de y sus subdominios. No se incluyen los productos de terceros (por ejemplo, componentes de control de proveedores); en ese caso, le rogamos que se ponga en contacto directamente con el fabricante correspondiente. No obstante, si tiene alguna duda, no dude en ponerse en contacto con nosotros y nos encargaremos de remitirle la información pertinente.

Cómo informar de una vulnerabilidad: envía tu notificación a cra@elha.de, a ser posible cifrado con nuestra clave PGP (https://elha.de/.well-known/pgp-key.txt). Sería de gran ayuda que indicara el equipo o el software afectado, junto con su versión; una descripción de la vulnerabilidad y sus posibles consecuencias; los pasos para reproducirla; así como sus datos de contacto, en caso de que desee que se mencione su nombre.

Lo que puede esperar de nosotros: le confirmaremos la recepción en un plazo de 5 días laborables, evaluaremos la notificación y le informaremos sobre los pasos a seguir. Le mantendremos al corriente de los avances y acordaremos con usted el momento de la publicación. Por regla general, nuestro objetivo es publicar la información en un plazo de 90 días desde su recepción; en el caso de máquinas en funcionamiento, la distribución de las actualizaciones puede llevar más tiempo, en cuyo caso acordaremos con usted un plazo adecuado. Las vulnerabilidades que se estén explotando activamente las notificaremos a las autoridades competentes, de conformidad con nuestras obligaciones legales.

Tenga en cuenta lo siguiente: no realice pruebas en máquinas que se encuentren en funcionamiento en entornos de producción, especialmente en las instalaciones de nuestros clientes. Las intervenciones en los sistemas de control de las máquinas pueden poner en peligro a las personas y causar daños materiales. Evite los ataques de denegación de servicio, la ingeniería social, el phishing y los ataques físicos. Acceda a los datos solo en la medida en que sea necesario para demostrar la vulnerabilidad y borre los datos obtenidos una vez finalizada la prueba. No publique detalles hasta que lo haya consultado con nosotros.

Garantía jurídica: Si actúa de buena fe y de conformidad con esta directriz, no emprenderemos ninguna acción legal contra usted.

Remuneración: Actualmente no contamos con ningún programa de recompensas por errores y no ofrecemos ninguna remuneración por las notificaciones.