Evaluación de riesgos de ciberseguridad de las máquinas

La ciberseguridad en la evaluación de riesgos para la seguridad

determinar los límites de la máquina o del producto relacionado, que incluyen el uso previsto y cualquier uso indebido razonablemente previsible

Reglamento (UE) 2023/1230, anexo III, parte B — original en inglés

El anexo III, parte B, exige que el fabricante determine los requisitos esenciales de salud y seguridad aplicables y diseñe la máquina o el producto relacionado para eliminar los peligros o minimizar los riesgos pertinentes. ISO 12100 sigue la misma secuencia: determinar los límites, identificar los peligros y las situaciones peligrosas, estimar y evaluar el riesgo y, después, reducirlo.

El análisis de ciberseguridad debe integrarse en esa secuencia cuando una conexión, un elemento de software, un dato, una configuración o una vía de control susceptible de corrupción pueda afectar al peligro o a la medida de protección.

Cómo puede causar daños la corrupción

Para cada función de seguridad o medida de protección, la evaluación examina cómo podría impedir la corrupción que funcione. Así se vincula la amenaza con una situación peligrosa concreta.

Amenazas que afectan a la seguridad funcional

prEN 50742 trata la evaluación de amenazas como un complemento de la evaluación de riesgos de la maquinaria, no como un sustituto. El proyecto explica que las vulnerabilidades pueden comprometer medidas de protección y evalúa el riesgo resultante en función de su efecto sobre la seguridad funcional.

Esta distinción sigue siendo útil mientras prEN 50742 continúe siendo un proyecto. El resultado de un análisis de red, la falta de una política de contraseñas o un servicio expuesto no bastan por sí solos. El expediente de la maquinaria debe mostrar la vía que conecta esa debilidad con una situación peligrosa o un efecto sobre un control relacionado con la seguridad.

Documentación de la evaluación

ISO 12100 establece que la documentación de la evaluación de riesgos debe indicar la maquinaria evaluada, las hipótesis, los peligros y las situaciones peligrosas, la información utilizada, los objetivos de reducción del riesgo, las medidas de protección, los riesgos residuales y el resultado de la evaluación. En el caso de la ciberseguridad, los registros también deben mostrar claramente la vía de corrupción.

• el producto, la configuración, la versión del software y el uso previsto evaluados;
• la función de seguridad o medida de protección afectada por la corrupción;
• la interfaz, la vía de acceso, la vía de actualización o la vía de datos que puede provocar la corrupción;
• el efecto sobre la seguridad si se produce la corrupción;
• la medida de protección, contramedida o información para el uso en la que se basa la evaluación;
• el riesgo residual y los límites de la protección seleccionada.

Evaluación de riesgos en la documentación técnica

El artículo 10 exige a los fabricantes que elaboren la documentación técnica antes de introducir una máquina o un producto relacionado en el mercado o ponerlo en servicio. El anexo IV exige documentar la evaluación de riesgos, incluidos los requisitos esenciales de salud y seguridad aplicables y las medidas de protección utilizadas para cumplirlos.