Produktzertifizierungen Netzwerkfähige Produkte bedürfen neuer Zertifizierung

Heute sind bereits viele Geräte an das Internet angeschlossen – Tendenz steigend. Das bringt völlig neue Herausforderungen für die Hersteller, die jetzt auch die Cybersicherheit ihrer Produkte berücksichtigen müssen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

TXOne Networks

Smarte Produkte und Services aus der digitalisierten Industrie 4.0 zeichnen sich vor allem durch ihre Vernetzung aus. Vereinfacht ausgedrückt, sind jetzt Heizungssteuerungen, Werkzeugmaschinen und Industrieanlagen an das Internet angeschlossen. Dies verändert bisher bewährte Vorgehensweisen, die nun auch Aspekte der Sicherheit umfassen müssen.

Herkömmliche Produktzertifizierungen berücksichtigen diese neue Situation nicht. Moderne, vernetzte Geräte benötigen eine dynamische Zertifizierung, die sich auf die Fähigkeit der Produkte bezieht, Software-Schwachstellen und Mängel zu analysieren, die unbefugte Nutzung zu minimieren, Probleme mit bekannter Malware zu beheben und Sicherheitsmechanismen zu überprüfen.

Die Hersteller von vernetzten Produkten sind in der Pflicht, alle sicherheitsrelevanten Merkmale von Komponenten auf Produktebene zu bewerten und auf bekannte Schwachstellen zu testen, um die Zuverlässigkeit zu gewährleisten, Ausfallzeiten zu verringern, Schäden an Anlagen zu vermeiden, Risiken zu mindern, die Sicherheit zu verbessern und die Sicherheit der Betriebsumgebungen aufrechtzuerhalten. Grundsätzlich folgen aus den Anforderungen an die Software-Cybersicherheit von netzwerkfähigen Produkten drei wichtige Kategorien: allgemeine und branchenspezifische Anforderungen sowie Prozessanforderungen.

Allgemeine Produktanforderungen

Eine Zertifizierung muss nachweisen, dass die Architektur der Software bereits Informationssicherheitsmaßnahmen beinhaltet – etwa verschlüsselte Kennwörter, Systeme für Intrusion Detection oder Firewalls. Zu den Mindeststandards für die Verringerung von Sicherheitsrisiken gehören die folgenden Maßnahmen: Zugangskontrolle und Authentifizierung, Verschlüsselung, abgesicherte Remote-Verbindungen, regelmäßige Software-Aktualisierungen sowie gegebenenfalls eine Möglichkeit, Produkte auch stilllegen zu können, wenn sich unvorhergesehene Sicherheitsrisiken ergeben, etwa durch Diebstahl. Zudem müssen die Hersteller standardisierte Testmethoden einsetzen, um Schwachstellen, Softwaremängel und Malware zu erkennen und deren mögliche Auswirkungen zu bewerten.

Branchenspezifische Anforderungen

Die Software, die vernetzte Geräte und Systeme unterstützt, muss den jeweiligen Anforderungen der Branche entsprechen, in der sie eingesetzt wird. So ist beispielsweise beim Einsatz von IoT-Geräten im Gesundheitswesen Augenmerk auf Vorkehrungen für den Datenschutz zu legen, da die Geräte besonders sensible Daten enthalten. Da Geräte für Smart-Home-Anwendungen häufig eine bidirektionale Datenübertragung für die Fernsteuerung unterstützen, sollten hier Zugangskontrolle und Identitätsmanagement integriert werden.

Eine Besonderheit sind Industriesteuerungen (Industrial Control Systems, ICS). Sie steuern zentral die Produktionsanlagen und sind damit ein attraktives Ziel für Cyberangriffe. Für sie gilt speziell die allgemeine, international eingesetzte Normenreihe IEC 62443 „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“. Außerdem sind kritische Infrastrukturen wie Verteidigung, Energieerzeugung und -Versorgung, Wassersysteme, Transport und Logistik, Finanzdienstleistungen, Gesundheitswesen und öffentliche Sicherheit ebenfalls lohnende Ziele für Angreifer.

Allgemeine Prozessanforderungen

Unternehmen benötigen zur Erhöhung der Cybersicherheit bei netzwerkfähigen Produkten auch ein effizientes Informationssicherheits- und Risikomanagement. Besonders wichtig sind hier Systeme und Prozesse für Risikobewertungen, die Voraussetzung für die Ermittlung der Folgen von softwarebasierten Bedrohungen ist. Darüber hinaus müssen mit der Produktentwicklung befasste Teams die Fähigkeit haben, Sicherheitsaspekte in den Entwicklungsprozess einfließen zu lassen. Hierzu sind beispielsweise entsprechende Weiterbildungen und Personenzertifizierungen notwendig.

Wenn diese Anforderungen beachtet werden, sind Unternehmen in der Lage, Cyberbedrohungen zu bewerten und vernetzte Komponenten mit den entsprechenden Vorkehrungen und Gegenmaßnahmen auszustatten. Angesichts der stetig wachsenden Zahl von Geräten, die an Netzwerke angeschlossen werden, sind solche dynamischen Zertifizierungen unerlässlich.

Dieser Artikel stammt von unserem Partnerportal Industry of Things.

(ID:45412865)