H2020 CYRENE Proiektua: hornikuntza kateko zerbitzuen segurtasunaren eta erresilientziaren ziurtagiria
- Mota Proiektua
- Egoera Bete
- Exekuzioa 2020 -2023
- Esleitutako Aurrekontua 4.992.750,00 €
- Eremua Europeo
- Finantza-iturri nagusia H2020
- Proiektuaren webgunea Proyecto CYRENE
Hornikuntza-katearen (SC) jarduerak kudeatzea gero eta konplexuagoa da. Arrazoi bat da segurtasun-arduradun eta operadoreentzako sistema integratu bat ez egotea interkonektatutako azpiegitura kritikoak eta ziber-sistemak aro digital berrian babesteko. EBk finantzatutako CYRENE proiektuak hornikuntza-kateen segurtasuna, pribatutasuna, erresilientzia, erantzukizuna eta fidagarritasuna hobetu nahi ditu, hornikuntza-katearen zerbitzuen segurtasuna eta erresilientzia ebaluatzen dituen Adostasunaren Ebaluazio Prozesu (CAP) berri eta dinamiko baten bidez.
PACk zerbitzu horiek osatzen dituzten interkonektatutako IT azpiegiturak eta CS eragiketak onartzen dituzten gailu indibidualak ere ebaluatzen ditu. Pribatutasun eta arriskuen ebaluaziorako lankidetza-maila anitzeko ikuspegi berri bat baliozkotuko da mundu errealeko CS azpiegiturak eta azken erabiltzaileak inplikatzen dituzten eszenatoki/baldintza errealetan.
CYRENE hornikuntza kateko zerbitzuen (SCS) legezko eta segurtasun baldintzak biltzen hasi zen. Segurtasun-baldintzak SCSko interes-taldeengandik (bai proiektuko bazkideak eta kanpoko eragileak lineako galdetegien bidez) bildu ziren, eta lege-eskakizunak partzuergoko legezko bazkideak bildu zituen. Eskakizunak sailkatu, aztertu eta jakinarazi dira. Baldintzen azterketak adostasunaren ziurtagiriaren ebaluazio-eskema eta adostasunaren ebaluazio-prozesua zehaztea ekarri zuen, maila anitzeko eta frogan oinarritutako ebaluazio-prozesu gisa definituta, hainbat eragileren (auditoreak, ebaluatzaileak, hornikuntza-katearen zerbitzu-hornitzaileak, administratzaileak eta segurtasun-arduradunak) sarbide-eskubide hierarkikoak dituztenak. Horrez gain, eredu ontologikoak garatu ziren azpiegituraren menpekotasun eta gertaeretarako, baita hardware eta software aktiboetarako, mehatxuetarako, ahultasunetarako, ziberdependetasunetarako, eragileetarako eta haien elkarrekintzeetarako, eta mehatxuen, arriskuen eta ahultasunen kaskadako ondorioetarako algoritmoak ere.
Horrez gain, arkitektura bat definitu zen, adostasuna ebaluatzeko prozesuaren laguntza izango duen plataforma baterako. Aipatutako emaitzak arrakastaz bete izanak proiektuaren lehen hiru mugarriak bete zirela markatu zuen: MS1, MS2 eta MS3. Ondorengo lana aurrebaldintzen diseinuan eta ezarpenean zentratu zen (hau da, aktiboak, ahultasunak, hornikuntza kateko zerbitzuak, negozio-prozesuak CVSS3.1-rekin bat datorren datu-base erlazionalaren eskema batean) interkonektatutako hornikuntza-kateetan arrisku horizontalen kalkulua errazteko, eragile anitzak (hau da, hornikuntza-katearen hornitzaileak, auditoreak eta ebaluatzaileak). Arakatze-zerbitzu automatikoak web ilunetik informazioa biltzeko eta ateratzeko diseinatu eta ezarri ziren. Era berean, datu-bide bat ezarri zen datuak prozesatzeko, zaintzeko, biltegiratzeko, grafikoak eta testuak aztertzeko. Ikaskuntza automatikoa erabili zen testua sailkatzeko, foroetan, merkatuetan eta web gune ilunetan atzemandako zibererasoetarako, legez kanpoko jardueretarako eta sortzen ari diren gertaeretarako duen garrantziaren arabera.
Threat Intelligence Sharing Platform sare ilunetik ateratako terminoak zibersegurtasuneko gertakariekin eta malwarearekin erlazionatutako ziberkontzeptuetan bateratzeko eta sailkatzeko erabili zen. Teknologia egokiak ere konfiguratu dira aurretik garatu diren moduluen integrazio arrakastatsua ahalbidetzeko. Horien artean, GitLab biltegi bat dago modulu-kode garrantzitsua integrazio-sistemara kargatzeko eta hainbat integrazio-tresna, hala nola Kafka Broker, Elasticsearch eta KeyCloak sarbide segururako.
Gainera, Redmine ingurunea arazoen berri emateko eta proiektuaren jardueren jarraipena egiteko konfiguratu da. Etengabeko integrazio-zereginek aipatutako GitLab ingurunea barne hartzen dute kode-biltegirako probak exekutatzen dituen eta iterazio bakoitzerako kodea zabaltzen duen prozesurako. Azkenik, txantiloi bat banatu da modulu indibidualen zein sistema integratuaren probaren eskema eramango duen informazioa biltzeko. Horrez gain, 5. lan paketeko jarduerek esperimentazio metodologiaren diseinua barne hartzen dute txantiloi egokiak sortuz, 6. lan paketean egin beharreko esperimentuen benetako diseinura bideratzeko.
CYRENEk Supply Chain Services (SCS) segurtasun eta erresilientzia eskakizunak ebaluatzeko eta ziurtatzeko arazoari aurre egiten dio. Horretarako, proiektuak zerbitzuak, eraikuntza-blokeak eta osagaiak eskaintzen ditu Arriskuen Ebaluaziorako (RA) prozesu hobetu baterako, eta, halaber, Adostasun Ebaluaziorako (CA) prozesu gisa balio dezake segurtasun-mehatxuak eta ahuleziak ebaluatzeko, baita SCSen segurtasuna eta erresilientzia eta haien segurtasun-helburuak ebaluatzeko ere.
Proiektuaren berrikuntza garrantzitsu bat RCA Metodologiaren erabilera bikoitza da, SCS hornitzaile indibidualek eta negozio-bazkideek SCS arriskuak ebaluatu eta kudeatzeko eta SCS Babesteko Profilak (PP, hau da, segurtasun-adierazpenak) sortzeko erabil dezaketelako, baina kanpoko auditoreek eta ziurtagiri-erakundeek ere erabil dezakete zibersegurtasun-helburuak, SCS PP-ren eskakizunak eta baliozkotasun-adierazpenak sartzeko. CYRENE ziurtagiriaren eskema ENISAren EUCCren luzapena da. Horrez gain, proiektuak plataforma eta tresna osagarrien multzo bat garatzen ditu ziurtapen-prozesuari laguntzeko.
Ziurtagiri-prozesua, esparrua eta tresna-tresna mundu errealeko bi probetan baliozkotuko dira. Probaren emaitzak praktika egokien multzo bat formulatzeko oinarri gisa erabiliko dira. Hornikuntza-kate modernoen garrantzia oinarrizkoa da, gizarte modernoetako ia jarduera guztien oinarri baitira. Funtzionamendu egokia ezinbestekoa da, eta etenaldiak eragin sozial, ekonomiko eta politiko sakona izan ohi du. Hornikuntza-katearen zerbitzuen segurtasuna eta erresilientzia ziurtatzeak kontsumitzaileen konfiantza areagotzen du eta Merkatu Bakar Digital lehiakor eta fidagarrian laguntzen du.
CYRENEren helburuak hauek dira:
- Sortu arriskuetan oinarritutako segurtasun eta pribatutasun ziurtapen eskem pertsonalizatuak, IKTetan oinarritutako hornikuntza-kate zerbitzu fidagarrietarako.
- Garatu zibersegurtasun-arrisku eta betetze-ebaluazio prozesu berri eta dinamikoa, betetze-ebaluazio mota desberdinak onartzen dituena.
- Hornikuntza-katearen zerbitzuen ziurtapen-eskema bat garatzea.
- Modelizazio- eta simulazio-zerbitzuak zehaztu hornikuntza-katean zibersegurtasun eta pribatutasun-arriskuak dinamikoki aurreikusteko, detektatzeko eta prebenitzeko, eta arintzeko estrategiak definitzeko.
- Baliozkotu CYRENE irtenbidea mundu errealeko hornikuntza-katearen zerbitzuetan aplikatuz.
- Hornikuntza-katearen zerbitzuen arriskuen ebaluazio eta ziurtapenerako praktika onak eta estandar hobetuak garatzea.
- EBren zibersegurtasun gaitasuna indartzen eta etorkizuneko zibersegurtasunaren erronkei aurre egiten laguntzea.
Hornikuntza-kateen (SC) garrantzi sozioekonomiko izugarria izan arren, segurtasun-agenteek eta operadoreek oraindik ez dute beren azpiegitura kritikoak (CI) eta interkonektatutako ziber-sistemak babesteko modu erraz eta integraturik aro digital berrian. CYRENEren ikuspegia hornikuntza-katearen zerbitzuen segurtasuna, pribatutasuna, erresilientzia, erantzukizuna eta fidagarritasuna hobetzea da, hornikuntza-katearen zerbitzuen segurtasuna eta erresilientzia ebaluatzen dituen Adostasunaren Ebaluazio Prozesu (CAP) berri eta dinamiko baten bidez, zerbitzu horiek osatzen dituzten interkonektatutako IT azpiegituren eta hornikuntza-katearen eragiketak onartzen dituzten gailu indibidualak.
Bere helburuak betetzeko, proposatutako CAP-k lankidetza, geruza anitzeko, ebidentzian oinarritutako pribatutasun eta arriskuen ebaluazio-ikuspegi batean oinarritzen da, maila ezberdinetako SC segurtasun-arduradun eta operadoreei laguntza ematen diena mehatxu eta ahultasun iraunkor aurreratuak modu dinamikoan ezagutu, identifikatu, modelatu eta aztertzeko, baita eguneroko zibersegurtasun eta pribatutasun arriskuak eta datu-urraketak kudeatzen ere. CYRENE bizitza errealeko hornikuntza-katearen azpiegituren eta azken erabiltzaileen agertoki/baldintza errealistetan baliozkotuko da. Gainera, proiektuak kanpoko eragile ugariren parte-hartze aktiboa bermatuko du, proiektuaren emaitzen inguruan ekosistema zabalago bat garatzeko bide gisa, CYRENE eskala handian hartzeko eta bere eragin globalaren oinarriak ezarriz.
Proiektuaren entrega hauek artearen egoera aurreratu dute: Adostasuna Ebaluatzeko/Ziurtagiriaren Eskema: Proposatutako eskemak ENISAren EUCC (Zibersegurtasun Ziurtagiriaren Eskema) hedatzen du eta interkonektatutako hornikuntza-katearen zerbitzu konplexuetan zentratzen da, hiru abstrakzio-geruzatan bistaratzen direnak, hots, negozio-prozesuak, interkonektatutako azpiegiturak eta aktibo digitalak.
Ondorioz, eragileen, prozesuen eta laguntza-teknologien aniztasun handiko ekosistema Ebaluazio-Helburu bat da, zeinaren adostasun-eskakizunak adierazten diren segurtasuna eta erresilientzia bermatzeko. Arriskuen eta Adostasunaren Ebaluazioa (RCA) Prozesua eta Maila Anitzeko Ebidentzian Oinarritutako Hornikuntza Katearen Arriskuen Ebaluazioa: metodologiak RCA prozesu baten urratsak eta erakunde eta rol ezberdinetan SC lankidetzan egindako arriskuen ebaluazioa egiteko beharrezkoak diren funtzioak, formulak eta kalkuluak zehaztu ditu. Urratsetan, lankidetza-prozesuan parte hartzen duten eragileak, interes-talde bakoitzaren eginkizunak eta baimenak eta ebaluazio- eta simulazio-prozesuekin lotutako lankidetza-fluxuak daude.
Prozesuak helburu bikoitza du: SCSko interesdunek hornikuntza-katearen zatia ebaluatzeko eta segurtasun-erreklamazioak egiteko erabil dezakete, baina kanpoko ebaluatzaileek eta ziurtapen-erakundeek ere erabil dezakete adierazitako segurtasun-erreklamazioak egiaztatzeko. CYRENE Ontology for Infrastructure Dependencies and Events-ek SC aktiboen eta ziberdependentzien arteko harremanak modelatzen ditu negozio-prozesuetan parte hartzen duten heinean. Negozio-prozesuek hornikuntza-katearen zerbitzuak biltzen dituzte, non hainbat rol dituzten erakundeek eta pertsonek parte hartzen duten sarbide-eskubide hierarkiko desberdinekin.
- MAGGIOLI SPA (MAGGIOLI)
Lotutako proiektuak
