Living TARA (Dynamic TARA)
Living TARA (synonym: Dynamic TARA) bezeichnet eine Bedrohungsanalyse und Risikobewertung (TARA), die über den gesamten Produktlebenszyklus aktuell gehalten wird. Neue Schwachstellen, geänderte Komponenten und neue Angriffstechniken fließen fortlaufend in die Risikobewertung ein. Die TARA ist damit kein einmaliges Dokument aus der Konzeptphase, sondern ein gepflegtes Modell, das den jeweils aktuellen Risikostand des Produkts abbildet.
Warum eine TARA leben muss
Eine TARA bewertet Risiken auf Basis des Wissensstands zum Zeitpunkt ihrer Erstellung. Dieser Stand veraltet: In verbauten Komponenten werden neue Schwachstellen (CVEs) bekannt, Angriffstechniken entwickeln sich weiter, und Software-Updates verändern die Angriffsfläche des Produkts. Jede dieser Änderungen kann die Angriffsdurchführbarkeit auf bestehenden Pfaden verschieben und damit getroffene Risikoentscheidungen ungültig machen.
Die ISO/SAE 21434 trägt dem Rechnung: Clause 8 fordert fortlaufende Cybersecurity-Aktivitäten — Monitoring relevanter Quellen, Bewertung neuer Ereignisse und Schwachstellenanalyse über den gesamten Lebenszyklus. Die UNECE R155 verlangt dieselbe Fähigkeit auf Managementebene: Der Hersteller muss nachweisen, dass er Risiken auch nach dem Produktionsstart erkennt und behandelt.
Voraussetzungen in der Praxis
- Nachvollziehbare Risikoentscheidungen: Jede Bewertung und ihre Begründung müssen dokumentiert und wiederauffindbar sein, damit sie bei neuen Erkenntnissen gezielt neu geprüft werden können.
- Verknüpfung statt Tabellenzeilen: Assets, Bedrohungsszenarien, Angriffspfade und Maßnahmen müssen als zusammenhängendes Modell vorliegen. Nur dann lässt sich die Auswirkung einer neuen Schwachstelle auf konkrete Risikoentscheidungen automatisiert ermitteln.
- Anbindung an das Schwachstellenmanagement: Eingehende CVE-Meldungen, Erkenntnisse aus Coordinated Vulnerability Disclosure und Komponenteninformationen aus der SBOM müssen den betroffenen Elementen der TARA zugeordnet werden können.
Abgrenzung zur klassischen TARA
Methodisch unterscheidet sich eine Living TARA nicht von einer klassischen TARA — die vier Schritte von Item Definition bis Risikobehandlung bleiben gleich. Der Unterschied liegt im Umgang mit dem Ergebnis: Die klassische Sichtweise behandelt die TARA als Nachweisdokument für die Konzeptphase, die Living TARA behandelt sie als fortgeschriebenes Risikomodell, gegen das neue Ereignisse laufend geprüft werden.