Security by Design IT-Security – von Anfang an gedacht

Anbieter zum Thema

TXOne Networks

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) veröffentlichte ein überarbeitetes Dokument des TeleTrusT-Leitfadens zum „Stand der Technik in der IT-Sicherheit“. Vor diesem Hintergrund gibt es Anwendern konkrete Hinweise und Handlungsempfehlungen.

Mit der Zunahme der Komplexität in Vernetzungs- und Applikationsumgebungen geht auch eine Verschärfung der Bedrohungslage einher. Aus diesem Grunde darf die IT-Security für die Softwareentwicklung nicht mehr nur als ein „Add-On“ betrachtet werden.

Funktionalität vs. Sicherheit

Dies geschieht insbesondre, wenn Funktionalität bzw. Usability bei immer kürzeren Release-Zyklen im Vordergrund stehen, und dagegen Aspekte der Sicherheit eher stiefmütterlich betrachtet werden. Die logische Folge: Tendenziell vergrößern sich die Angriffsflächen für Hacker umso mehr.

Dies gilt insbesondere auch für viele Geräte des Internet of Things (IoT), wofür statt „Security by Design“ oft andere Design-Prinzipien großgeschrieben werden. Als Sicherheitsmaßnahmen kommen meist nur Penetrationstests und Quellcode-Reviews etc. zum Einsatz, die in der Regel nicht ausreichend sind.

So sollen akkubetriebene Geräte zum Beispiel nicht nur sehr energiesparend betrieben werden, sondern auch energiesparende Funkstandards nutzen. Bei der Datenübertragung trifft man leider noch immer unverschlüsselte unidirektionale Protokolle an. Mit der stetig voranschreitenden Vernetzung von Endgeräten drängt sich die Notwendigkeit auf, jeden einzelnen Datenknoten mit einer eigenen Schaltungslogik und Schnittstelle auch separat gegen Hacker-Bedrohungen abzusichern.

Durchgängiges Konzept

Zur Erreichung eines umfassenden Sicherheitsniveaus sind für den Ansatz des „Security by Designs“ alle Phasen eines Product Lifecycle Managements (PLM) zu berücksichtigen. Das heißt, von einem Konzept, über die Anforderungsanalyse und Durchführung von Tests bis hin zur Inbetriebnahme beim Endkunden.

Auf diese Weise sollen Fehler und Schwachstellen von Anfang an reduziert und eine integrierte und nachhaltige Sicherheit hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität erzielt werden. Im Fokus von „Security by Design“ steht der Schutz gegen jegliche Sicherheitslücken über den gesamten Lebenszyklus von Systemen und Produkten mit digitalen Komponenten.

So werden bereits in der Entwurfsphase entscheidende Funktionen für die Sicherheit als auch Kommunikationsstandards für den Datenaustausch mit anderen Geräten oder Programmen implementiert. Das heißt, ein unverschlüsseltes Mitlesen über verschiedene Schnittstellen ist somit ausgeschlossen. Zudem verhindert eine End-to-End-Verschlüsselung auch Man-in-the-Middle-Attacken sowie andere Angriffsvarianten und vieles mehr.

Secure Product Lifecycle Management (SPLM)

Die Integration der „Security by Design“-Prinzipien sind in ein Product Lifecycle Management (PLM) führt zu dem Ansatz des Secure Product Lifecycle Management (SPLM). Damit ein SPLM reibungslos funktionieren kann, muss es in alle Phasen eines Qualitäts- und Informationssicherheits-Managementsystems eingebunden werden.

Mithilfe des SPLM tragen alle an der Entwicklung des Produkts beteiligten Abteilungen im Hinblick auf die IT-Security ihren Anteil an Verantwortung. Zu diesen Abteilungen können unter anderem folgende Bereiche gehören: Produktmanagement, Entwicklung, Einkauf, Fertigung, Vertrieb, Marketing, Logistik, Service, IT-Security-Manager, Compliance- und Datenschutzbeauftragte.

Ablauf einer „Security by Design“-Entwicklung

Eine neue Software oder ein neues Gerät lässt sich in unterschiedliche Reifegrade einteilen: Von der Idee, über die Konzeption und der Entwicklung eines Prototyps entsteht ein marktreifes Produkt. Alle Reifegrade werden von den „Security by Design“-Prinzipien begleitet. Ein paar wesentliche sind in der Folge skizziert:

Idee

In der Phase der Konkretisierung von Produktideen sind zum Beispiel folgende Fragen für die IT-Security von Bedeutung:

Wie hoch sind die Anforderungen an die IT-Security?

In welchem Umfeld (Outdoor, Smart Home, Kraftwerk etc.) und in welchem IT-Umfeld (Netzwerk, vor oder hinter einer Firewall etc.) soll das Produkt eingesetzt werden?

Konzept

Für die Formulierung eines Konzepts sind unter anderem folgende Fragen zu klären:

Wie ist der Schutzbedarf an Daten im Hinblick auf Schutzziele wie beispielsweise Vertraulichkeit, Integrität und Verfügbarkeit festzulegen?

Welche Compliance-Anforderungen wie zum Beispiel Normen, Gesetze, Branchen-Standards, Kundenanforderungen etc. gibt es?

Welche digitalen Bedrohungsszenarien sind zu nennen und wie können sie verhindert werden?

Entwicklung

Bei der Erstellung eines marktfähigen Produkts mit angemessenen IT-Security-Komponenten sind folgende Schutzmaßnahmen zu beachten:

Gibt es für die Systemarchitektur ein angemessenes Sicherheitskonzept? Lassen sich damit alle relevanten Bedrohungen ausreichend abschwächen?

Prototyp

In dieser Phase werden die Anforderungen an die IT-Security unter realen Bedingungen direkt am Einsatzort überprüft. Zu den Tests gehören unter anderem eine automatisierte Schwachstellensuche im Produkt sowie Penetrationstests.

Empfehlung von TeleTrusT

Für eine erfolgreiche Einführung von „Security by Design“ sind nach Ansicht von TeleTrusT folgende Kriterien zu beachten:

• Commitment der Unternehmensführung für „Security by Design“ als zwingende Voraussetzung im Produktentwicklungs- und Produktionsprozess. Dabei ist darauf zu achten, dass dafür alle Produkte betrachtet werden, auch diese, die bereits am Markt positioniert sind.

• „Security by Design“ sind nicht nur technische Vorgaben, sondern es soll sich insbesondere die gesamte Organisation weiterentwickeln.

• Bereitstellung von hinreichenden Ressourcen und finanziellen Budgets. Erfolgt dies nicht, bleibt „Security by Design“ lediglich eine Absichtserklärung des Managements.

• „Security by Design“ muss auf Compliance-Vorgaben und gesetzliche Bestimmungen ausgerichtet werden.

• Klare personelle Zuordnung der Management-Verantwortung von „Security by Design“ innerhalb der Organisation.

• Für die Einführung von „Security by Design“ empfiehlt sich eine klassische Projekt-Organisation.

• Einbindung der Geschäftsführung und aller relevanten Organisationsbereiche.

(ID:49600249)