Cyber Security Engineering

Cyber Security Check-up: Wie sicher sind Ihre Produkte? In der Produktentwicklung ist Security ein großes Thema, jedoch bleiben häufig Fragen zur Konzeption und Umsetzung unbeantwortet: Wie viel muss man investieren, um ein angemessenes Security-Level zu erreichen? Wo fängt man an und welche Schritte sind notwendig? Um hohe Investitionen zu vermeiden, ist eine gute Entscheidungsgrundlage in Form eines Check-ups sinnvoll.

Baseline Cyber Security Concept: Wie erstellt man eine „sichere“ Architektur? Ziel eines Baseline Cybersecurity Konzepts ist es, Security bereits in der ersten Konzeptphase bei der Wahl der Architektur und Hardware zu berücksichtigen (security-by-design). Dabei werden häufig Risiken, die bei einer späteren Implementierung der Security-Maßnahmen auftreten können, minimiert. Das Baseline Cyber Security Konzept ersetzt keine ausführliche Risikoanalyse und Konzeptentwicklung, aber es antizipiert Projektrisiken und macht das System „security-ready“.

• Identifikation der Hardware Requirements
• Crypto Benchmarking
• Security-by-Design

Was heißt eigentlich „sicher“? Security ist immer kontext-spezifisch. Während bei Passwörtern beispielsweise Vertraulichkeit wichtig ist, hat Vertraulichkeit keine Relevanz für öffentliche Nachrichten. Bei einer Risikoanalyse werden daher angemessene Security-Ziele identifiziert, potenzielle Schwachstellen eines Systems aufgezeigt und das damit verbundene Risiko abgeschätzt. Gemeinsam mit Ihnen entwickeln wir eine Risikobewertung mit einer Liste an priorisierten Schwachstellen, die als Entscheidungsbasis für das Cyber Security Konzept dient.

• Definition der Cyber Security Ziele
• Gefahrenszenario-Identifikation
• Angriffsbaum-Modellierung
• Risikoanalyse

Welche Security Mechanismen müssen implementiert werden? Gemeinsam mit Ihnen entwickeln wir ein Security Konzept mit einer passenden Security-Architektur, um definierte Security Ziele zu erfüllen. Zudem werden Anforderungen an die Implementierung identifiziert. Nach der Finalisierung des Konzepts können die passenden Anforderungen spezifiziert werden.  

• Security Konzept Entwicklung
• Secure Onboard Communication
• Secure Boot

Wie werden Security-Mechanismen sicher implementiert? Auch wenn das Sicherheitskonzept und die Spezifikationen sicher sind, können Schwachstellen in der Software die Sicherheit des Systems leicht gefährden. Für die Softwareentwicklung ist daher wichtig, dass nicht nur Software zur Implementierung von Sicherheitsmechanismen, sondern auch die gesamte Software keine Schwachstellen aufweisen und damit gegen Angreifer geschützt ist. Um die Konformität des Codes sicherzustellen, setzen wir dazu „Secure Coding“-Praktiken sowie teilautomatische Code-Analysetechniken ein.

• Cryptographic Library Integration
• HSM Integration
• Source Code Hardening

Gibt es Angriffsmöglichkeiten, die bisher übersehen wurden? Zuverlässige Software muss getestet werden – dasselbe gilt für sichere Systeme. Mit modernsten Methoden und Tools werden die Systeme auf Schwachstellen, die von einem Angreifer ausgenutzt werden können, getestet und mögliche Optionen zur Behebung der Schwachstellen aufgezeigt. 

• Code Analyse
• Penetration Testing
• Fuzz Testing

Neben der Produktsicherheit müssen zudem Cyber Security Prozesse und Methoden im Unternehmen etabliert werden, um reproduzierbare Ergebnisse zu erhalten. Dabei liegt die Herausforderung meist darin, dass Security-Prozesse typischerweise Abhängigkeiten und Zielkonflikte mit anderen Prozessen haben. Mit der Erfahrung aus unserem eigenen Cyber Security Engineering Prozess unterstützen wir Sie bei der Etablierung neuer Sicherheitsprozesse und -methoden. Dabei berücksichtigen wir selbstverständnlich Ihre individuellen Anforderungen, technischen Randbedingungen und bestehende Prozesse.

• Beratung zu Prozessen (auf Basis von bspw. ISO/SAE 21434, IEC 62443)
• Safety/Security Interaktion