Il corso offre una panoramica completa sul Cyber Resilience Act, illustrando il quadro normativo europeo, la classificazione dei prodotti e gli obblighi di sicurezza lungo l’intero ciclo di vita. Approfondisce i principi di security by design per hardware e sistemi IoT, le tecniche di gestione delle vulnerabilità, l’adozione della SBOM e le procedure di aggiornamento sicuro. Fornisce inoltre indicazioni operative per predisporre la documentazione di conformità.

OBIETTIVO

Il corso illustra come trasformare un obbligo normativo (il CRA – Cyber Resilience Act) in un vantaggio competitivo, fornendo strumenti tecnici pronti all’uso per chi progetta hardware e gestisce infrastrutture industriali.

DESTINATARI

IT Manager, IoT Developer, Ingegneri dell’Automazione, Product Owner

PROGRAMMA

IL FRAMEWORK LEGISLATIVO E IL CICLO DI VITA DEL PRODOTTO

• Oltre la Direttiva Macchine: Come il CRA si integra con la NIS2 e la Nuova Direttiva Macchine (Regolamento UE 2023/1230)
• Classificazione dei prodotti: Distinzione tra prodotti “Default”, “Classe I” e “Classe II” (Critical Products). Dove si collocano i PLC e i gateway industriali?
• Obblighi del Fabbricante: Dalla marcatura CE alla gestione delle vulnerabilità per tutto il ciclo di vita (minimo 5 anni)
• Timeline e Sanzioni: Roadmap di adozione e impatto economico della non-conformità

SECURITY BY DESIGN E ARCHITETTURE IOT SICURE

• Hardening dell’Hardware: Secure Boot, TrustZone e l’uso di elementi sicuri (SE) o TPM nei dispositivi industriali
• Protocolli di Comunicazione: Metodi per rendere sicuri MQTT, OPC-UA e Modbus (TLS 1.3, certificati client-side)
• Principio del “Least Privilege” nel Firmware: Gestione degli accessi, disabilitazione di interfacce non necessarie (JTAG, UART, porte USB)
• Crittografia dei dati: Protezione dei dati at rest e in transit secondo gli standard EN IEC 62443

GESTIONE DELLE VULNERABILITÀ E SOFTWARE BILL OF MATERIALS (SBOM)

• Cos’è la SBOM e perché è obbligatoria: Utilizzo di standard come CycloneDX o SPDX per mappare le dipendenze software
• Vulnerability Disclosure Policy (VDP): Come strutturare un canale per ricevere segnalazioni di bug esterni
• Patch Management in ambito OT: Strategie di aggiornamento remoto (OTA) sicuro senza interrompere la continuità operativa
• Strumenti di scansione: Analisi statica (SAST) e dinamica (DAST) specifica per sistemi embedded

IMPLEMENTAZIONE PRATICA E COMPLIANCE

• Documentazione Tecnica: Cosa deve contenere il fascicolo tecnico per l’audit di conformità
• Reporting alle Autorità: Come e quando segnalare un incidente di sicurezza a ENISA entro le 24 ore
• Checklist di Autovalutazione
• Q&A

PREREQUISITI

Nessuno