将网络安全融入工业 HMI 产品
网络安全现已成为工业产品开发中不可或缺的核心要素。
随着互联 HMI、控制器和其他电子组件与机器、网络和外部系统之间的数据交换日益频繁，欧盟《网络弹性法案（CRA）》等法规也为包含数字元素的产品引入全新的网络安全需求。
对设备制造商而言，网络安全必须贯穿产品全生命周期，从架构和设计到维护和漏洞管理，每一环节都需充分考虑。
为此，APEM 持续完善网络安全流程并提升专业能力，旨在随着这些需求的不断演变，为原始设备制造商（OEM）和系统集成商提供支持。
贯穿产品全生命周期的网络安全
有效的产品网络安全，绝非仅为产品添加个别安全功能。
安全考量必须根植于工程流程本身：识别潜在威胁、制定适当的设计需求、验证需求实现效果，以及在产品投入使用后持续维护。
APEM 正围绕以下原则，构建全生命周期管理方法，包括：
威胁分析和网络安全风险评估；
产品安全开发和设计规则；
验证和文档化证据；
技术文档；
漏洞管理；
安全修正和软件更新；
产品符合性评估准备。
这种全生命周期管理方法对于包含软件的产品尤为重要，因为即使初始开发阶段早已结束，新的漏洞或安全需求仍可能持续涌现。
APEM 计划通过与客户约定的受控发布机制提供纠正措施、安全补丁和软件升级，在声明的产品支持期限内持续维护产品的合规性。
为《网络弹性法案》做好准备
欧盟《网络弹性法案（CRA）》针对包含数字元素的产品提出了网络安全义务。工业企业须在 2027 年 12 月 11 日 CRA 全面生效前完成充分准备。
对组件制造商而言，这意味着他们需逐步将安全需求融入产品开发、文档编制、维护和漏洞管理等环节。
APEM 当前正加速依据 CRA 要求评估现有产品组合，并同步建立结构化评估框架，以支持未来产品。
其目标不止于应对单一法规，而是建立完善的产品安全开发流程，以满足未来欧洲法规要求，包括 CRA 和《机械法规》。
对将 APEM 工业 HMI 集成到更大型系统的 OEM 而言，这一方法亦可为其筹备自身合规活动提供所需的技术资料以及产品层面的证据。
基于 IEC 62443 的结构化开发流程
这一战略的重要举措，是 APEM 实施 IEC 62443-4-1，这是一项国际网络安全标准，适用于工业自动化和控制系统产品的开发组织。
该标准确立了一套覆盖整个安全开发生命周期的网络安全实践——从初始需求、产品设计，到验证、维护，直至最终退役。
APEM 已获得必维集团 LCIE（Bureau Veritas LCIE）确认，其 IEC 62443-4-1 成熟度等级 2 评估已成功通过验证。
下一步，APEM 计划将该方法拓展至产品层面的网络安全，包括 APEM 嵌入式产品参考架构的认证流程。
通过专属 PSIRT 管理漏洞
产品上市后，网络安全责任并未终止。
为此，APEM 成立了产品安全事件响应团队（PSIRT），负责管理上报的漏洞。
PSIRT 建立了结构化处理流程：
接收漏洞报告；
评估漏洞的严重程度和潜在影响；
协调采取纠正措施；
管理与已识别漏洞相关的沟通工作。
一旦发现潜在安全问题，该组织机制可在客户、网络安全专家与 APEM 工程团队之间建立明确的沟通渠道。
APEM 内部专业网络安全能力建设
为支撑上述工作，APEM 已在法国设立功能安全与网络安全能力中心。
该中心致力于发展专业能力、完善流程体系，并建立可复用的工程方法，以应用于 APEM 和 IDEC 的各项业务。
目前，该能力中心已参与多个项目的产品安全开发和认证工作，包括操纵杆、APEM 面板解决方案和 IDEC 移动出行解决方案，后续还将开展更多项目。
此外，该中心还着力推动网络安全架构、方法论和工具在集团内的复用，避免为每款产品重复开发独立方案——在提升一致性的同时，显著提高合规活动的效率。
PSIRT：在组件之外为 OEM 提供支持
如果您发现 APEM 产品存在潜在漏洞，或在产品使用过程中遭遇网络安全事件，请通过此表单进行报告。