Warum Sicherheit eine der größten Engineering-Herausforderungen der Zukunft ist

Kaum eine Woche vergeht, ohne dass über größere Sicherheitsprobleme berichtet wird. Die kürzlich identifizierten Sicherheitslücken einer Vielzahl von CPUs mit den Namen “Spectre” und “Meltdown” könnten potenziell Millionen von PCs und Smartphones betreffen. Auch wenn (noch) kein tatsächlicher Schaden mit diesen Sicherheitslücken verbunden ist, zeigt dies, dass eine riesige Anzahl von Nutzern buchstäblich über Nacht betroffen sein kann.

Sehr oft werden Sicherheitslücken jedoch tatsächlich ausgenutzt. Ransomware hat zuletzt großen Schaden bei Privatnutzern und Unternehmen angerichtet – darunter im Transport- und Gesundheitssektor –, indem sie deren IT-Ausrüstung unbrauchbar machte. Telekom-Router wurden gehackt und deaktiviert. Autos wurden erfolgreich kompromittiert und als Folge gestohlen oder manipuliert.

Angesichts von “Smart Homes” und selbstfahrenden Autos ist das sehr besorgniserregend.

Wer ist von Sicherheitsbedrohungen betroffen?

Es ist schwierig, Szenarien zu finden – als Privatperson oder als Unternehmen –, in denen man mit Sicherheit behaupten kann, dass Cybersicherheit einem nichts angeht.

PCs, Laptops und Smartphones sind ein integraler Bestandteil des Lebens vieler Menschen. Neue Gerätetypen wie Smartwatches oder Smart-Home-Geräte dringen in den Massenmarkt vor. Die große Mehrheit der Nutzer in Industrieländern ist “digital und vernetzt”.

In der Geschäftswelt sind PCs seit Jahrzehnten in Büros präsent. Heute basieren nahezu alle arbeitsbezogenen Aktivitäten einschließlich der Geschäftskommunikation auf digitalen, elektronischen und vernetzten Geräten. Daten können gestohlen oder verfälscht werden. Die Verfügbarkeit von Diensten kann beeinträchtigt werden. Im Bereich der industriellen Produktion schreitet die Digitalisierung ebenfalls voran. Smart Factories im Zeitalter von Industry 4.0 laufen auf Software, Maschinen sind mit anderen Maschinen oder sogar dem Internet verbunden und kommunizieren miteinander.

Um sich vor potenziellen Angriffen zu schützen, müssen Privatpersonen und Unternehmen gleichermaßen ihr Bewusstsein für Cyberbedrohungen schärfen und geeignete Maßnahmen ergreifen: regelmäßige Backups erstellen, Antivirensoftware nutzen, IT-Richtlinien und Firewalls aktuell halten und Disaster-Recovery-Pläne vorhalten.

Der Engineering-Aspekt von Safety und Security

Produkte und Dienstleistungen, die heute verfügbar sind, wären vor einigen Jahrzehnten undenkbar gewesen. Das Internet, Smartphones, 4K-Fernseher und Autos mit mehr Rechenleistung als Apollo 13. Engineering-Prozesse sind etabliert und haben zu erschwinglichen, zuverlässigen High-Tech-Produkten für die Masse geführt.

Safety ist seit mehr als 50 Jahren ein integraler Bestandteil moderner Engineering-Prozesse für Systeme aus elektrischen und/oder elektronischen Elementen. Funktionale Sicherheitstechnik ist branchenübergreifend etabliert. Seit der Veröffentlichung von IEC 61508 sind viele branchenspezifische Normen gefolgt, darunter ISO 26262 für den Automobilsektor.

Infolgedessen sind Produkte im Laufe der Zeit immer sicherer geworden: Airbags in Autos funktionieren zuverlässig, hochautomatisierte Fabriken bieten sichere Arbeitsumgebungen, und Toaster zu Hause fangen kaum noch Feuer.

Wenn also etablierte Engineering-Prozesse in der Lage sind, die Gesundheit und die “physische Integrität” des Nutzers zu schützen – warum sollte das für die “Datenintegrität” anders oder schwieriger sein?

Das übergeordnete Ziel von Safety ist der Schutz von Menschenleben. Als Teil des Gesamtentwicklungsprozesses müssen Ingenieure sicherstellen, dass komplexe elektrische/elektronische Systeme dem Nutzer keinen Schaden zufügen. Dazu müssen sie alle Funktionen und ihre Abhängigkeiten aufschlüsseln und verstehen. Ingenieure analysieren potenzielle Ausfallszenarien und die Wahrscheinlichkeit ihres Auftretens. Die negativen Auswirkungen und die Wahrscheinlichkeit der Ausfälle werden dann im Designprozess minimiert. FMEA (Failure Mode and Effects Analysis) und FTA (Fault Tree Analysis) sind bewährte Methoden, die durchgehend im Safety-Engineering-Prozess eingesetzt werden.

Die Grundsätze eines jeden Risikomanagementprozesses umfassen die Reduzierung des Risikos auf ein akzeptables Niveau, entweder durch Verringerung der Eintrittswahrscheinlichkeit und/oder durch Senkung des durch den Fehler verursachten Schadens.

Für den Safety-Engineering-Prozess bedeutet das, funktionale Ausfälle unwahrscheinlicher zu machen, z.B. durch Implementierung von Failover-Mechanismen oder den Einsatz hochwertigerer Materialien. Gleichzeitig wird das Schadenspotenzial gesenkt, z.B. durch Einführung und Verbesserung von Sicherheitsgurten in Autos.

Der Safety-Engineering-Prozess führt zu Produkten und Dienstleistungen, die nicht zu 100 % sicher sind – aber das Risiko einer Schädigung der menschlichen Gesundheit auf ein akzeptables Niveau begrenzen.

Ein erfolgreicher Security-Engineering-Prozess muss einem ähnlichen Ansatz folgen. Das Ziel ist es, Systeme zu entwerfen und zu implementieren, die das Sicherheitsrisiko auf ein akzeptables Niveau begrenzen.

Die Herausforderungen der Security-Engineering werden deutlich, wenn wir die sicherheitsbezogenen Parameter der Wahrscheinlichkeit und der negativen Folgen betrachten.

Im Security-Engineering haben wir es mit einem Angreifer zu tun!

Die Wahrscheinlichkeit, dass ein Sicherheitsausfall eintritt, kann daher nicht statistisch bestimmt werden. Sicherheitslücken führen oft zu Situationen, in denen ein einziger Sicherheitsausfall in sehr kurzer Zeit zu potenziell Tausenden oder Millionen von Angriffen führt.

Security-Engineering erfordert daher neue Konzepte zur Schätzung der Angriffswahrscheinlichkeit, die Aspekte wie die Motivation, die Erfahrung und den Zeitaufwand eines Angreifers einschließen.

All diese Aspekte sind subjektiv und dynamisch, da sie sich im Laufe der Zeit verändern.

Die negativen Folgen oder Schäden, die sich aus einem Sicherheitsangriff ergeben, sind vielfältig. Safety ist weiterhin ein relevanter Aspekt, da ein Sicherheitsverstoß zu einer Situation führen kann, die Menschen physisch schädigt. Man denke an eine kompromittierte Lenk- oder Bremsfunktion eines Autos.

Darüber hinaus können Schäden finanzieller oder rechtlicher Natur sein. Kreditkartendaten können gestohlen oder Datenschutzrechte von Einzelpersonen verletzt werden.

Während der Schutz von Menschenleben branchenübergreifend und kulturunabhängig universell gilt, können rechtliche Auswirkungen von Land zu Land unterschiedlich sein. Selbst finanzielle Schäden lassen sich schwer einheitlich als hoch, mittel oder niedrig einstufen, da dies stark von Größe und finanzieller Situation des betroffenen Unternehmens abhängt.

Weitere Schadenskategorien könnten je nach System definiert werden. So könnte z.B. eine Verschlechterung des Service-Levels, reduzierte Funktionalität oder langsamere Antwortzeiten eine eigene Schadenskategorie darstellen. Die komplexe und hochgradig subjektive Konstellation möglicher “negativer Folgen” macht eine standardisierte Sicherheitsrisikoanalyse sehr schwierig.

Das ist besonders problematisch in einem internationalen und stark kollaborativen Entwicklungsumfeld wie der Automobilindustrie.

Weitere Herausforderungen im Security-Engineering entstehen durch Abhängigkeiten von Sicherheitsbedrohungen und sicherheitsbezogenen Gegenmaßnahmen von anderen Engineering- und Entwicklungsaspekten. Ein Design sicherer zu machen verändert das Design. Hardware-Verschlüsselungsmodule sind kostspielig (wirtschaftliche Auswirkungen), kryptografische Maßnahmen verbrauchen Ressourcen wie Rechenleistung und Bandbreite (wirtschaftliche und Performance-Auswirkungen), Sicherheitsmaßnahmen können Safety-Zielen widersprechen – z.B. in einem Szenario, in dem eine verschlossene Tür sicher, aber nicht gesichert ist – und zusätzliche Authentifizierungsprozesse beeinflussen die Nutzererfahrung.

Infolgedessen erhöht Security-Engineering die Anforderungen an effektive, interdisziplinäre Kollaborationsmethoden und -werkzeuge im Entwicklungsprozess, um Sicherheitsaspekte zu modellieren, zu analysieren und zu bewerten.

Was muss in den kommenden Jahren im Bereich Security-Engineering passieren?

Sicherheitsbewusstsein auf allen Organisationsebenen stärken

Manager, Product Owner, Ingenieure und Softwareentwickler müssen sich der Safety-, Rechts- und finanziellen Auswirkungen von Sicherheitsdesign bewusst sein. Security ist keine Option, sondern Kernbestandteil jedes erfolgreichen Unternehmens.

Regulatorische Lücken schließen und rechtliche Unsicherheiten minimieren

Regulierungsbehörden – darunter IEC/ISO, die EU und einzelne Länder – müssen Normen und Gesetze einführen, die den Security-Engineering-Prozess regeln. Ähnlich wie ISO 26262 für funktionale Sicherheit im Automobilbereich muss der Rechtsrahmen keine Methoden und Werkzeuge vorschreiben, sondern die erforderlichen Arbeitsergebnisse und Dokumente in den verschiedenen Phasen des Entwicklungsprozesses definieren.

Das wird die Komplexität des Security-Engineering-Prozesses nicht beseitigen, aber es schafft einen regulatorischen Rahmen für Organisationen, um den Prozess zu optimieren, Rollen zu definieren und die Art von Dokumentation zu erstellen, die aus regulatorischer und rechtlicher Sicht erwartet wird.

Als Beispiel wird ISO/SAE 21434 ein Cybersecurity-Engineering-Framework für Straßenfahrzeuge definieren. Die erste Version wird jedoch voraussichtlich erst in der ersten Jahreshälfte 2020 veröffentlicht.

Security-Ingenieure in den Entwicklungsprozess integrieren

Unabhängig von Normen und Gesetzen und dem Zeitpunkt ihrer Verfügbarkeit sind sicherheitstechnische Aufgaben komplex und erfordern Know-how und Erfahrung. Sie erfordern auch den interdisziplinären Austausch über Abteilungsgrenzen hinweg. Unternehmen müssen dem Rechnung tragen, indem sie Sicherheitsexperten als integralen Bestandteil ihres Entwicklungsprozesses einstellen und schulen. Gleichzeitig müssen Prozess und Verantwortlichkeiten angepasst werden, um einen “sicheren Entwicklungsprozess by Design” zu gewährleisten.

Bestehende Methoden und Werkzeuglandschaft überprüfen

Im Einklang mit den erwarteten regulatorischen Rahmenbedingungen und den definierten Rollen und Verantwortlichkeiten der Security-Ingenieure müssen Methoden und Werkzeuge überprüft werden. Folgende Aspekte können dabei berücksichtigt werden:

• Fähigkeit, das zu entwickelnde System einschließlich aller relevanten Sicherheitsaspekte flexibel zu modellieren und zu analysieren (Sicherheitsziele, Schadenspotenziale, Angriffsvektoren, Gegenmaßnahmen usw.)
• Bereitstellung von Schnittstellen zur Integration der Sicherheitsanalyse in bestehende Engineering-Toolchains
• Flexibilität zur Anpassung an bevorstehende Änderungen durch Regulierungen oder verbesserte Best-Practice-Ansätze
• Grad der Automatisierung und Niveau der “intelligenten Werkzeugunterstützung” in den Bereichen Modellierung und Analyse
• Unterstützung vorhandener oder erwarteter regulatorischer Fähigkeiten einschließlich Tracing, revisionssicherer Dokumentation und Logging

Gemeinsam mit dem Fraunhofer-Institut für Angewandte und Integrierte Sicherheit AISEC entwickelt itemis eine architekturbasierte Cybersecurity-Analyselösung für Automotive, IoT und Industry 4.0.

Cyber Security bei itemis — Systematisches Security-Engineering für Automotive, IoT und Industry 4.0: Cyber Security →