Cybersecurity Control (Schutzmaßnahme)
Ein Cybersecurity Control ist eine technische oder operative Maßnahme, mit der ein Item seine Cybersecurity Goals erreicht. Die Beispiele der ISO/SAE 21434 reichen vom abgesicherten Kommunikationskanal bis zum eigenen Mikrocontroller mit Hardware-Vertrauensanker für den Schlüsselspeicher.
Erst das Was, dann das Wie
Die Methoden der Threat Analysis and Risk Assessment (TARA) sprechen nicht von Controls; ihre Risikobehandlung entscheidet nur, ob ein Risiko reduziert wird. Lautet die Antwort ja, entsteht ein Cybersecurity Goal. Das Goal sagt, was geschützt werden muss, aber nicht wie.
Das Wie beginnt schon in der Konzeptphase. Im Cybersecurity Concept beschreibt man laut Norm, mit welchen technischen und operativen Controls die Goals erreicht werden und wie diese Controls zusammenspielen. Die Cybersecurity Claims und die Abhängigkeiten zwischen den Funktionen des Items fließen dabei ein. Die Beschreibung kann etwa festhalten, ob ein Control eine Kompromittierung verhindern oder erkennen soll. Zusammen mit den Cybersecurity-Anforderungen bildet sie das Cybersecurity Concept.
Controls gehören also nicht erst in die Entwicklung. Wer nur die TARA-Kapitel der Norm liest, übersieht das leicht.
In der Entwicklung werden Controls konkret
In der Produktentwicklung werden die Controls ausgewählt und spezifiziert. Die Cybersecurity-Spezifikationen bauen ausdrücklich auf den Controls auf, die zur Umsetzung ausgewählt wurden. Solche Controls dürfen aus vertrauenswürdigen Katalogen stammen. Auch die Hardware zählt: Ob ein Bauteil genug Rechenleistung und Speicher für ein Control hat, darf in die Spezifikation einfließen. Die Norm beschreibt diese Arbeit als iterativ: Sie läuft, bis kein Control mehr verfeinert werden muss.
Fertig ist das Thema damit nicht. Das Cybersecurity Assessment prüft am Ende, ob die umgesetzten Controls angemessen und wirksam sind.
Controls in der Analyse
Ein Control kann auch in der Umgebung stecken. Annex H der Norm nimmt für das Scheinwerfer-Beispiel an, dass das Gateway starke Controls samt Firewall hat, entwickelt nach CAL 4. Die Analyse verlässt sich hier auf ein Control, das sie nicht selbst spezifiziert.
Ob ein Control das Risiko senkt, zeigt erst der Risikowert. Dafür muss es auf den Angriffspfaden wirken, die das Risiko bestimmen. Und selbst dann hängt es an der Risikomatrix: In der Beispielmatrix aus Annex H steht bei moderatem Schaden für low und medium derselbe Wert. Ein Control, das einen Pfad von medium auf low drückt, ändert dort nichts.
In itemis SECURE hängt ein Control deshalb an den Bedrohungen, die es abschwächt. Der Angreifer muss es auf seinem Pfad überwinden, und itemis SECURE rechnet Feasibility und Risiko neu. Wie Angriffspfade bewertet werden, beschreibt unser Artikel zu Bedrohungsszenarien und Angriffspfaden.