Cybersecurity Goal (Cybersecurity-Ziel)
Ein Cybersecurity Goal (Cybersecurity-Ziel) ist eine Sicherheitsanforderung auf oberster Ebene, die in der Konzeptphase eines Produkts nach ISO/SAE 21434 identifiziert wird. Cybersecurity Goals gehen aus der Risikobehandlung der Threat Analysis and Risk Assessment (TARA) hervor: Für Risiken, die reduziert werden sollen, wird festgehalten, welche Sicherheitseigenschaft welcher Assets zu schützen ist. Damit sind sie das zentrale Bindeglied zwischen Assets, Schadensszenarien und den späteren Cybersecurity-Anforderungen.
Die Beziehungen eines Cybersecurity Goals
Die Norm ordnet Cybersecurity Goals über klar benannte Beziehungen ein: Ein Goal ist einem Item zugeordnet, es mindert das Risiko eines Assets, es adressiert Schadensszenarien und damit indirekt die zugehörigen Bedrohungsszenarien, und es wird durch Cybersecurity-Anforderungen realisiert. Diese Kette macht nachvollziehbar, warum eine Anforderung existiert: Jede lässt sich bis zu einer Risikoentscheidung zurückverfolgen.
Vom Goal zum Control
Cybersecurity Goals beschreiben noch keine konkrete Implementierung. Erst in der Entwicklungsphase werden sie über Cybersecurity-Anforderungen zu konkreten Security Controls verfeinert, also zu den tatsächlich umgesetzten Maßnahmen. Deshalb sprechen die TARA- und Konzept-Kapitel der Norm nicht von Controls; sie gehören in die Produktentwicklung. Praktisch wichtig: Controls führen selbst neue Assets ein, deren Risiken ebenfalls bewertet werden müssen. Die Analyse wird dadurch iterativ und sollte die Entscheidungshistorie als eine gemeinsame Quelle über den Lebenszyklus tragen.
Parallele zum Safety Goal
Die Begriffsbildung lehnt sich bewusst an das Safety Goal der ISO 26262 an: Beide sind Anforderungen auf oberster Ebene aus der Konzeptphase. Der Unterschied liegt in der Dynamik. Während sich Safety-Anforderungen weitgehend hierarchisch im V-Modell verfeinern lassen, hängen Security-Maßnahmen stark von Implementierungsdetails ab und verändern durch ihre Einführung die Analyse selbst. Wie die Goals aus der Risikobewertung entstehen, beschreibt die TARA im Detail; ihren Platz im Prozess zeigt die Spoke-Seite zu Cyber Security.