Security by Design: Cybersicherheit im gesamten Produkt-Lebenszyklus

„Security by Design“ beschreibt den proaktiven Ansatz, von Anfang an alle notwendigen Sicherheitsaspekte zu ermitteln und in den gesamten Lebenszyklus einzubinden, um präventiv Sicherheitslücken zu schließen und Cyber-Bedrohungen zu minimieren. Dieser Grundsatz ist nicht nur in der Software- und Produktentwicklung, sondern auch in der Planung, Implementierung und im Betrieb von IT- und OT-Systemen anwendbar.

Der Vorteil von „Security by Design“ liegt in einem umfassenden und angepassten Sicherheitsansatz, der die bestehende Umgebung, neue Anforderungen und aktuelle technische Best-Practices schon im Design- und Entwicklungsprozess von Systemen, Produkten und Infrastrukturen berücksichtigt. Das Ziel besteht darin, Sicherheitsaspekte von Anfang an in den Entwurf einzubringen, um potenzielle Schwachstellen zu erkennen und zu beheben, bevor sie von Angreifern ausgenutzt werden können. So werden Risiken minimiert und notwendige Cybersecurity-Themen von Beginn an nachhaltig und kosteneffizient adressiert, statt nachträglich aufwändige Änderungen und Anpassungen durchzuführen.

Warum ist Security by Design (noch) nicht Standard?

Wie auch beim Brandschutz und anderen Notfallvorsorgen ist es objektiv am effizientesten, von Beginn an integrierte Lösungen zu entwickeln. Obwohl das Konzept bei weitem nicht neu ist, wird nach wie vor noch oft darauf „verzichtet“ – oder schlichtweg vergessen. Sei es aufgrund fehlender Kompetenzen, weil andere Aspekte des Projektes höher priorisiert wurden, aufgrund der Kosten oder wegen unzureichender Management-Vorgaben.

Security by Design sei für Unternehmen kein ‚nice to have‘, sondern zwingendes Muss, um erfolgreich am Markt agieren zu können, so der deutsche Bundesverband IT-Sicherheit e.V. aus Deutschland. Ein Ratgeber mit Handlungsempfehlungen für Entscheidungsträger*innen soll dabei helfen, das Bewusstsein und das Wissen über die Prinzipien zu verbessern. [1]

Wie kann Security by Design umgesetzt werden?

Das Sichere Produkt-Lebenszyklus-Management bzw. Secure Product Lifecycle Management (SPLM) beginnt bei der Idee und begleitet das Produkt bis zum Nutzungsende. Ziel ist es, die Sicherheitsanforderungen des jeweiligen Bereiches nach aktuellem Stand der Technik effizient und transparent auszuwählen anzupassen und zu integrieren.

Neben den drei Schutzzielen Integrität, Vertraulichkeit und Verfügbarkeit bietet das Open Web Application Security Project (OWASP) mit seinen zehn Security by Design Prinzipien eine sehr gute Orientierungshilfe: [2]

1. Angriffsfläche minimieren
2. Sichere Standardeinstellungen
3. Minimale Berechtigungen
4. Defense in depth-Konzept
5. Sicheres Fehlverhalten
6. Services nicht vertrauen
7. Aufgabenbereiche trennen
8. Keine Sicherheit durch Geheimhaltung
9. Sicherheit einfach halten
10. Sicherheitsprobleme ordnungsgemäß beheben

Für einen sinnvollen Basisschutz können zudem je nach Branche und Anforderungen bewährte Grundprinzipien aus etablierten Cyber-Security-Standards und Herstellerempfehlungen entnommen werden, beispielsweise den CIS-18 Controls, ISO27000 oder IEC 62443. [3] [4] [5]

Security by Design für IT- und OT-Betriebe planen

Während sowohl IT als auch OT mit digitalen Systemen arbeiten, gibt es entscheidende Unterschiede, die bei der Anwendung von Security by Design berücksichtigt werden müssen. IT befasst sich hauptsächlich mit der Verarbeitung und Verwaltung von Informationen, während OT auf die Kontrolle und Überwachung von physischen Prozessen abzielt, z. B. in industriellen Anlagen oder kritischen Infrastrukturen. OT-Umgebungen haben meist längere Lebenszyklen, und Sicherheitslösungen müssen auf die spezifischen Anforderungen dieser Systeme zugeschnitten sein.

Für eine stabile und zuverlässige Umgebung sollten folgende Themen bedacht werden:

• Nutzung sicherer Protokolle, Verfahren und Einstellungen bzw. Ablösen oder Ausschließen unsicherer Protokolle
• angepasste und klare Sicherheitsrichtlinien, die alle relevanten Bereiche abdecken (von der Zugriffskontrolle bis hin zu Passwortrichtlinien)
• kontinuierliche Überprüfungen wie Sicherheitsaudits, um potenzielle Schwachstellen und Risiken zu identifizieren, auch während des Betriebs
• Integration von proaktiven Maßnahmen, um potenzielle Bedrohungen frühzeitig zu erkennen und zu entschärfen.
• Notfallszenarien wie Hackerangriff oder Ransomware-Attacke planen (Incident Response)

Planungsagenden für IT-Security Governance

Das Management eines Unternehmens und IT-Security-Verantwortliche spielen eine zentrale Rolle bei der Förderung und Umsetzung einer proaktiven Sicherheitskultur.

• Veröffentlichen und Kommunizieren von Prinzipien und Vorgaben, die eine sichere Planung und Umsetzung fördern und mit der eigenen Sicherheitsstrategie abgestimmt sind
• regelmäßigen Schulungen und Sensibilisierungsmaßnahmen, um das Sicherheitsbewusstsein in der gesamten Organisation und aller Mitarbeiter*innen zu verbessern
• eine positive Sicherheitskultur, in der Sicherheit als gemeinsame Verantwortung aller Mitarbeiter*innen angesehen wird und als gemeinsames Ziel definiert ist

Security by Design im gesamten Produkt-Lifecycle-Management

Nicht nur in der Entwicklung, auch bei der Auswahl und beim Betrieb von Systemen und Produkten spielt die gesamte Sicherheitsgestaltung eine wesentliche Rolle.

• Integration von Sicherheitsaspekten bereits in der Konzeptions- und Designphase, um potenzielle Risiken von Anfang an zu adressieren
• kontinuierliches Risikomanagement durch regelmäßige Bewertung und Verbesserung der Sicherheit während der Entwicklungs-, Test- und Produktionsphasen
• Sicherheitsmaßnahmen über den gesamten Lebenszyklus, inkl. Inbetriebnahme, regelmäßigen Updates während des Betriebs über die nötige Laufzeit bis hin zu geeigneten Vorkehrungen bei Nutzungsende, um Datenlecks und unerwünschten Zugriffen vorzubeugen

Security by Design ist ein entscheidendes Konzept in der heutigen daten- und informationsgetriebenen Welt. Eine ganzheitliche Sicherheitsstrategie, die proaktive Maßnahmen und besonders auch kontinuierliche Verbesserungen beinhaltet, erlauben Unternehmen robuste und sichere Produkte und Systeme zu entwickeln und zu betreiben, die den ständig wachsenden Sicherheitsherausforderungen standhalten können.

Das könnte Sie auch interessieren:

Defense in Depth: Multi-Layer-Ansatz für gelebte OT-Security

API-Sicherheit: Schutz vor Fremdzugriffen und Manipulation

5 Best Practices für schnelle Reaktionen auf Sicherheitsvorfälle

Quellen:
[1] https://www.teletrust.de/publikationen/broschueren/security-by-design/
[2] https://wiki.owasp.org/index.php/Security_by_Design_Principles
[3] https://www.cisecurity.org/controls/cis-controls-list
[4] https://www.security-insider.de/was-ist-iec-62443-a-8afae9df06ebcb1f8589b32514f4088c/
[5] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html