os-cillation: Sichere IT-Produkte herstellen
Sicherheit in der IT keine Selbstverständlichkeit
Die zunehmende Digitalisierung der Industrie und unseres Alltags stellt besondere Anforderungen an die Sicherheit von IT-Systemen. Im Zeitalter der Vernetzung öffnen Sicherheitslücken nicht mehr nur für Datendiebstahl und -missbrauch Tür und Tor. Unsichere IT-Systeme bedrohen ganze Produktionen und Handelsbewegungen bis hin zur Bedrohung für das Unternehmen selbst. Ein Beispiel sind die Automobilhersteller, die das Vertrauen ihrer Kunden in das vernetzte Auto der Zukunft durch Sicherheitslücken aufs Spiel setzen. Daher müssen Unternehmen heutzutage mehr denn je Wert auf den Schutz ihrer IT-Systeme und IT-Produkte legen. Und das beginnt bereits bei der Entwicklung.
Aspekte wie Vertraulichkeit und Integrität von Daten gewinnen aufgrund der steigenden Abhängigkeit der Wirtschaft und Verwaltung von funktionierenden IT-Systemen zunehmend an Relevanz. Wer die Sicherheit seiner IT-Systeme nicht gewährleisten kann, verliert das Vertrauen der Kunden. Wer würde sich derzeit bedenkenlos in ein Auto setzen, dass mit dem Internet verbunden ist? Natürlich haben die Automobilhersteller ihre Systeme überprüft, aber wie die erfolgreichen Hackerangriffe zeigen, nur unzureichend. Um die Sicherheit von Daten und Systemen zu gewährleisten, werden den jeweiligen Gefährdungslagen entsprechende Sicherheitsstandards entgegengesetzt.
Derartige Standards ergeben jedoch nur dann einen Sinn, wenn sie allgemein anerkannt sind, um eine Vergleichbarkeit der unterschiedlichen Sicherheitsniveaus von IT-Systemen herzustellen. Hierzu wurden die Allgemeinen Kriterien für die Bewertung der Sicherheit in der Informationstechnologie entwickelt, abgekürzt CC nach der englischen Bezeichnung "Common Criteria for Information Technology Security Evaluation". Die CC bestehen aus Kriterien, mit denen sich Sicherheitseigenschaften von Computersystemen bewerten lassen. Darüber hinaus werden anhand der CC-Kriterien die Sicherheitsfunktionen von IT-Produkten überprüft und abgestuft zertifiziert.
Sicherheit auch bei Haftungsfragen
Die CC-Kriterien stellen für IT-Systementwickler und Softwareentwickler eine Grundlage für die Entwicklung sicherer und vertrauenswürdiger Systeme bzw. IT-Produkte dar. Sie bieten die Möglichkeit einer objektiven Bewertung durch eine neutrale Instanz. Anwender profitieren von der Vergleichbarkeit, die CC-zertifizierte Produkte und Systeme bieten. Dadurch können Unternehmen das jeweilige Sicherheitsniveau besser einschätzen und die richtige Auswahl für passende IT-Systeme und -Produktetreffen. Durch ein hohes Sicherheitsniveau, sprich: hohe Hürden gegen Datendiebstahl und -manipulation, der eingesetzten oder produzierten IT-Systeme und Produkte grenzen sich Unternehmen erfolgreich vom Wettbewerb ab.
Des Weiteren schafft die CC-Zertifizierung Abhilfe bei Haftungsstreitigkeiten. In der Regel geht es in solchen Auseinandersetzungen um die gebotene Sorgfaltspflicht, also im Bezug auf die IT um die Einhaltung von Normen und Standards. Die CC-Zertifizierung kann dann als Nachweis für die Einhaltung der gebotenen Sorgfaltspflicht herangezogen werden. International aufgestellte Unternehmen profitieren von CC-Sicherheitszertifikaten, die im Rahmen internationaler Abkommen länderübergreifend gültig sind. Aufgrund dieser Abkommen entfällt eine Mehrfachzertifizierung für ein und dasselbe Produkt in verschiedenen Ländern.
Evaluierung und Zertifizierung
Im Rahmen der Common Criteria wird das Sicherheitsniveau eines IT-Systems oder IT-Produkts in unterschiedliche Stufen, den Evaluation Assurance Level (EAL), unterteilt. Der Hersteller entscheidet dabei selbst, nach welcher EAL sein Produkt zertifiziert werden soll, denn nicht jedes Produkt bedarf des gleichen Schutzniveaus. Hierzu erstellt er seine Dokumentation über die Eigenschaften und Schutzziele seines Produkts, die er nach den CC-Kriterien zertifizieren möchte.
Je höher die EAL, desto höher die Anforderungen an diese Dokumentation. In den niedrigen Stufen genügt die Vorlage dieser Dokumente, bei den höheren EAL werden zum Beispiel zusätzlich auch der Source Code überprüft oder Penetrationstests durchgeführt. Die Zertifizierung nach Common Criteria führt in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI) durch. Da den Common Criteria ein Vier-Augen-Prinzip zugrunde liegt, muss das System oder Produkt aber zunächst von einer akkreditierten Prüfstelle evaluiert werden.
Die CC-Zertifizierung beginnt also mit der Dokumentation der Sicherheitsfunktionen eines IT-Systems oder -produkts. In der Regel streben Hersteller im ersten Schritt eine niedrige EAL an, da die Anfertigung der notwendigen Dokumente schon dafür sehr aufwendig ist. Im Rahmen einer Erstdokumentation kommen daher nur große Konzerne mit CC-Erfahrung ohne externe Beratung aus. Eine solche Beratung bieten unter anderem die unterschiedlichen Evaluatoren an.
Doch nicht nur für die Dokumentation wird spezielles Know-how benötigt, auch die Entwicklung muss auf einem entsprechend hohen Niveau erfolgen, damit das Produkt später erfolgreich evaluiert und zertifiziert wird. Hierfür sind gut geschulte Ingenieure und Entwickler vonnöten, denn bei auftretenden Problemen während der Evaluation oder bei der Zertifizierung durch das BSI erhält der Entwickler keine Handlungsempfehlungen, wie das ermittelte Problem am besten behoben werden kann. Die Lösung muss der Hersteller schon selbst herausfinden.
Anforderungen an die Produktentwicklung
Damit nicht genug: Das BSI prüft neben dem Produkt und seinen Schutzzielen auch den Hersteller selbst. Er muss diverse Anforderungen für Testverfahren, im Support, in der Dokumentation und im Vorgehen bei sicherheitsrelevanten Zwischenfällen erfüllen. Das schließt auch die Überprüfung des Entwicklungsstandorts mit ein, d. h., dass die Sicherheitsmaßnahmen am jeweiligen Standort ebenfalls eine Rolle im Rahmen der CC-Zertifizierung spielen. Je nach EAL werden an den Entwicklungsstandorten unterschiedliche Anforderungen gestellt. Sie können über Kontrollen für den Zutritt zum Gebäude bis hin zu einem Sicherheitsperimeter um den Standort reichen.
Wer nicht die Ressourcen oder das nötige Know-how besitzt, um seinen Entwicklungsstandort an diese Anforderungen anzupassen oder um IT-Systeme und Produkte auf CC-Niveau zu entwickeln, greift auf externe Dienstleister wie die os-cillation GmbH aus Siegen zurück. Das Unternehmen entwickelt IT-Systeme und -Produkte nach Common Criteria bis EAL4+ mit hohem AVA-VAN. Das entspricht dem Sicherheitsniveau von einigen CC-zertifizierten Firewall-Lösungen, Regierungsprojekten oder Smartcards für Banken und der elektronischen Gesundheitskarte. CC-Zertifizierungen auf Basis der Common Criteria sind bis EAL4 international anerkannt. Darüber hinaus existieren zwar höhere EALs, die in der Wirtschaft aber keine nennenswerte Rolle spielen und Militärs und Geheimdiensten vorbehalten sind.
Die os-cillation GmbH verfügt nicht nur über die notwendige Erfahrung in der Entwicklung CC-zertifizierter IT-Systeme und -produkte, sie betreibt auch einen entsprechenden Entwicklungsstandort, der sich durch vielfältige Schutzmaßnahmen auszeichnet. Die Mitarbeiter des Unternehmens müssen Arbeitsprozesse detailliert dokumentieren und umfangreiche Policies befolgen. Darüber hinaus werden sie regelmäßig zu sicherheitsrelevanten Themen geschult. Über ein internes Vier-Augen-Prinzip wird verhindert, dass ein Produkt während der Entwicklung kompromittiert wird. Besucher werden darüber hinaus registriert.
Geprüfte Sicherheit schafft Vertrauen
Als Dienstleister sollte der Berater seinen Kunden vom Anfang bis zum Ende der Zertifizierung begleiten, um auftretende Probleme durch die eigenen Entwickler beheben zu können. Nach erfolgreicher Zertifizierung werden die geprüften Schutzziele vom BSI veröffentlicht, so dass potenzielle Kunden einen transparenten Einblick in das erhalten, was die Bundesbehörde geprüft hat. Auf diese Weise bieten die Common Criteria durch standardisierte und international anerkannte Kriterien eine Vertrauensbasis hinsichtlich der Sicherheit von IT-Systemen und -produkten.
Während die Common Criteria beispielsweise in den USA bereits weit verbreitet sind, werden sie seit einigen Jahren auch in Europa verstärkt genutzt, denn die Gefahr von illegalen Zugriffen auf geschäftskritische und personenbezogene Daten steigt von Tag zu Tag. Sicherlich täten die Automobilhersteller gut daran, eine CC-Zertifizierung ihrer IT-Systeme in Betracht zu ziehen, um das verlorene Vertrauen ihrer Kunden in das vernetzte Auto der Zukunft wieder zurückzugewinnen.
Mehr Informationen zur os-cillation GmbH:
 |
os-cillation GmbH |
|
Hohler Weg 75 |
|
57072 Siegen |
|
Tel.: +49 (0) 271 31368-0 |
|
Fax: +49 (0) 271 31368-18 |
|
E-Mail: info@os-cillation.de |
|
www.os-cillation.de |
War dieser Artikel für Sie hilfreich?
 |
|
|
|
|
Bitte bewerten Sie diese Seite durch Klick auf die Symbole.
Zugriffe heute: 1 - gesamt: 1582.
