Definition Security Assurance Methodology | SECAM Was ist SECAM (Security Assurance Methodology)?

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

Security Assurance Methodology ist ein vom 3rd Generation Partnership Project (3GPP) entwickeltes Framework zur Absicherung und Bewertung der Security von im Mobilfunkbereich eingesetzten Netzwerkprodukten. Wichtiger Partner bei der Entwicklung und Umsetzung des Frameworks ist die GSM Association (GSMA). SECAM stellt allgemeine, prüfbare Sicherheitsanforderungen und Sicherheitseigenschaften für die verschiedenen Klassen von Netzwerkprodukten zur Verfügung.

SECAM ist das Akronym für Security Assurance Methodology. Es handelt sich um ein vom 3rd Generation Partnership Project (3GPP) entwickeltes Sicherheits-Framework speziell für im Mobilfunkbereich eingesetzte Netzwerkprodukte. Mithilfe des Frameworks lässt sich die Security der Produkte bewerten und sicherstellen. SECAM definiert allgemeine, prüfbare Eigenschaften und Anforderungen an die Sicherheit der verschiedenen Klassen von Netzwerkprodukten. Das Framework richtet sich nach CC (Common Criteria) und CCRA (Common Criteria Recognition Arrangement) und deren Implementierung in Mobilfunknetzen.

Ein wichtiger Partner in der Entwicklung und Umsetzung der Security Assurance Methodology ist die GSM Association (GSMA) mit ihrer Network Equipment Security Assurance Group (NESAG). Unter anderem definiert die NESAG das Rahmenwerk für die Akkreditierung der Prüflabore. Eine wichtige Komponente von SECAM sind die Security Assurance Specifications (SCAS). Sie beinhalten die Sicherheitsanforderungen und die Testspezifikationen. Neben der Sicherheitsbewertung der Netzwerkprodukte deckt die Security Assurance Methodology auch die Evaluierung der Sicherheit der Entwicklungs- und Lifecycle-Management-Prozesse der Hersteller ab.

Motivation für die Entwicklung von SECAM

Mobilfunknetzwerke sind sowohl im privaten als auch im industriellen Umfeld unverzichtbar geworden. Sie gehören zu den kritischen Infrastrukturen und bilden in vielen Bereichen des täglichen Lebens wie in der Medizin, im Transportwesen und anderen Bereichen das Rückgrat der Digitalisierung. Ein Ausfall der mobilen Kommunikation kann erhebliche negative Folgen für die Wirtschaft und die Gesellschaft haben. Die Sicherheit der im Mobilfunkbereich eingesetzten Produkte gewinnt daher mehr und mehr an Bedeutung. Mobilfunkbetreiber stellen hohen Anforderungen an die Sicherheit der eingesetzten Produkte der verschiedenen Hersteller. Gleichzeitig möchten die Hersteller sichere Netzwerkprodukte bereitstellen, die weltweit in verschiedenen Märkten einsetzbar sind. SECAM wurde entwickelt, um allgemeingültige, prüfbare Sicherheitsstandards und -prozesse bereitzustellen, die die beschriebenen Ziele der Hersteller und Netzwerkbetreiber hinsichtlich der Sicherheit der Netzwerkprodukte erfüllen.

Die Bedeutung von SCAS für SECAM

Eine wichtige Rolle für SECAM übernehmen die Security Assurance Specifications (SCAS). Sie definieren und beschreiben für eine vorgegebene Klasse von Netzwerkprodukten die Sicherheitsanforderungen und die Testfälle. Die Security Assurance Specifications stellen die Grundlage für eine Sicherheitsevaluierung dar. Ihre Sicherheitsanforderungen decken beispielsweise die Widerstandsfähigkeit der Produkte, die Sicherheit der Daten und anderes ab. Grundsätzlich ist ein SCAS-Dokument in diese drei Teile gegliedert:

• 1. Die Beschreibung der Netzwerkproduktklasse (Network Product Class Description - NPCD)

• 2. Die Definition der Sicherheitsproblematik (Security Problem Definition - SPD)

• 3. Die Sicherheitsanforderungen inklusive der verschiedenen Testfälle (Security Requirements - SR)

Der Prozess der Netzwerkproduktevaluierung nach SECAM

Der Prozess der Netzwerkproduktevaluierung nach SECAM erfolgt vereinfacht beschrieben in diesen Schritten:

Zunächst erhält der Hersteller die Security Assurance Specifications (SCAS), die sein Netzwerkprodukt erfüllen soll. Anschließend erfolgt die Bewertung des Produkts gemäß der Security Assurance Specifications. Ergebnis ist ein ausführlicher Bericht der Evaluierung, den der Netzwerkbetreiber erhält, der die Produkte einsetzt. Der Netzwerkbetreiber entscheidet, ob die Ergebnisse den internen Vorgaben (oder auch den externen Vorgaben wie regulatorische Vorgaben) entsprechen und ob er den Security Assurance Level des Produkts akzeptiert.

(ID:48257482)