Cybersecurity Claim
Ein Cybersecurity Claim ist nach ISO/SAE 21434 eine dokumentierte Begründung, warum es vertretbar ist, ein Risiko zu teilen oder zu behalten. Claims entstehen in der Konzeptphase aus der Risikobehandlung der TARA, genau wie die Cybersecurity Goals. Ein Goal sagt, was geschützt werden muss. Ein Claim sagt, warum ein Risiko nicht weiter gesenkt wird.
Wann ein Claim nötig ist
Die Norm verlangt einen oder mehrere Claims, wenn die Risikobehandlung eines Bedrohungsszenarios eine dieser Entscheidungen enthält:
- das Risiko teilen, etwa per Vertrag oder Versicherung;
- das Risiko behalten, weil die Analyse auf Annahmen beruht.
Eine Anmerkung in Clause 15 geht weiter: Begründungen fürs Behalten und fürs Teilen werden als Claims festgehalten. Die Anforderung in Clause 9 ist enger: Ein kleines Risiko, das man ohne Annahme behält, braucht nach ihr keinen Claim. Begründen sollte man die Entscheidung trotzdem, denn die Verifikation prüft jede Entscheidung gegen das Ergebnis der Analyse.
Claims und Annahmen
Gibt die Item Definition nicht genug her, darf die Analyse fehlende Informationen annehmen. Annex H nimmt für das Scheinwerfer-Beispiel an, dass das Navigationssteuergerät eine Firewall gegen ungültige Kommunikation von außen hat und das Gateway starke Controls, entwickelt nach CAL 4. Behielte man ein Risiko mit Verweis auf diese Firewall, wäre ein Claim fällig. Annex H selbst zeigt keinen Claim, denn beide Beispielszenarien werden dort reduziert.
Claims wirken auch nach vorn. Das Cybersecurity Concept muss sie berücksichtigen, wenn es die Controls beschreibt, und seine Verifikation prüft, ob es zu den Claims passt.
Claims muss man im Blick behalten
Ein Goal wird irgendwann erfüllt und nachgewiesen. Ein Claim ist eine Aussage über die Welt außerhalb des Items, und die ändert sich. Deshalb fließen Claims laut Norm in das Cybersecurity Monitoring ein. Die Validierung auf Fahrzeugebene prüft, ob sie noch gelten. Wer ein Item wiederverwendet, muss prüfen, ob sie nach den Änderungen noch tragen. Und wer eine Komponente integriert, die ohne konkreten Fahrzeugkontext entwickelt wurde, muss deren Claims und Annahmen validieren.
Ein Risiko wegen einer Annahme zu behalten, macht in der TARA die wenigste Arbeit. Danach muss man es aber beobachten, solange das Item im Feld ist. Das geht nur, wenn sichtbar bleibt, worauf der Claim beruht. In itemis SECURE ist eine Annahme deshalb ein eigenes Objekt, das genau in den Angriffspfaden wirkt, für die sie gilt. Auch deshalb ist eine TARA nie abgeschlossen, sondern wird als Living TARA weitergepflegt. Den Überblick über alle Schritte gibt unser Artikel zur TARA.