En praktisk guide til at skelne mellem cybersikkerhedsrisikovurdering, trusselsmodellering, risikostyring og TARA ved udvikling af forbundne produkter.
Start med begreberne
Teams, der udvikler forbundne produkter, bruger ofte risikovurdering, trusselsmodel, trusselsanalyse og TARA, som om de betyder det samme. De overlapper, men de besvarer forskellige spørgsmål og kan anvendes forskelligt på tværs af sektorer.
En cybertrussel er en potentielt skadelig omstændighed, hændelse eller handling. En sårbarhed er en svaghed, modtagelighed eller fejl, som kan udnyttes af en cybertrussel. En cybersikkerhedsrisiko vedrører muligt tab eller driftsforstyrrelse og kombinerer omfanget af dette potentielle tab eller denne driftsforstyrrelse med sandsynligheden for den relevante hændelse. En liste over trusler udgør derfor ikke i sig selv en fuldført risikovurdering. De definitioner, der anvendes i Cyber Resilience Act, bygger på Cybersecurity Act.
En trusselsmodel er en struktureret fremstilling, der bruges til at identificere sikkerheds- og privatlivsrelaterede problemstillinger. Den kan dokumentere systemgrænser, aktiver, dataflows, grænseflader, angrebsvektorer og mulige trusler. Metoderne varierer: anerkendte tilgange omfatter STRIDE, PASTA, LINDDUN og angrebstræer, og OWASP foreskriver ikke én officiel metode.
En cybersikkerhedsrisikovurdering går videre end produktkonteksten og de identificerede problemstillinger. Den vurderer de risici, der er forbundet med et produkt, og understøtter beslutninger om gældende krav og passende behandling.
Risikostyring er endnu bredere. ISO 31000 beskriver den som en proces, der omfatter identifikation, analyse, evaluering, behandling, overvågning og kommunikation af risiko. Det er vejledning og ikke en certificerbar standard.
TARA, eller Threat Analysis and Risk Assessment, er den benævnte tilgang i bilindustrien, der anvendes i ISO/SAE 21434. Det er en anerkendt metode til elektriske og elektroniske systemer i vejgående køretøjer og ikke en generel juridisk betegnelse, som Cyber Resilience Act kræver, at producenter anvender.
Hvad Cyber Resilience Act kræver
Cyber Resilience Act kræver, at producenter gennemfører en cybersikkerhedsrisikovurdering for produkter med digitale elementer. I henhold til artikel 13 skal vurderingen dokumenteres, anvendes på tværs af planlægning, design, udvikling, produktion, levering og vedligeholdelse og opdateres efter behov i supportperioden.
Vurderingen skal tage højde for produktets tilsigtede formål, med rimelighed forudsigelig anvendelse, anvendelsesbetingelser, driftsmiljø, aktiver, der kræver beskyttelse, og forventet brugstid. Resultatet skal bidrage til at fastslå, hvilke gældende væsentlige cybersikkerhedskrav i bilag I der gælder for produktet, og vurderingen indgår i den tekniske dokumentation.
Forordningen fastlægger den krævede kontekst, dokumentation og de krævede resultater. Den foreskriver ikke én navngiven metode, kræver ikke TARA, gør ikke trusselsmodellering obligatorisk og fastsætter ikke et bestemt antal vurderingstrin. Et team kan vælge en metode, der passer til produktet, forudsat at vurderingen viser dækning af de gældende retlige krav.
| Begreb | Praktisk betydning | Cyber Resilience Act-position |
|---|---|---|
| Trussel | En potentielt skadelig omstændighed, hændelse eller handling | En trussel er adskilt fra den resulterende risiko |
| Sårbarhed | En svaghed, modtagelighed eller fejl, som en cybertrussel kan udnytte | Adskilt fra både en trussel og den resulterende risiko |
| Trusselsmodel | En struktureret måde at identificere og beskrive sikkerhedsproblemstillinger på | Kan være nyttig dokumentation, men ingen enkelt metode er påkrævet |
| Cybersikkerhedsrisikovurdering | Produktspecifik vurdering af cybersikkerhedsrisici og relevante krav | Kræves i henhold til artikel 13 |
| Risikostyring | Den bredere cyklus af vurdering, behandling, overvågning og kommunikation | Understøtter vedvarende håndtering af vurderingsresultatet |
| TARA | En defineret tilgang til trusselsanalyse og risikovurdering i bilindustrien | Kræves ikke af forordningen |
Brug af trusselsmodellering i en bredere vurdering
Trusselsmodellering er ofte et værdifuldt input til en bredere cybersikkerhedsrisikovurdering. Den giver teamet en systematisk måde at forstå produktet og identificere meningsfulde trusselsscenarier på, før der træffes beslutning om den nødvendige behandling.
For produkter til industriel automatisering og kontrolsystemer giver IEC 62443-4-1:2018 en ramme for en sikker produktudviklingslivscyklus. Standardens SR-2-proces for produkttrusselsmodeller omfatter relevante elementer såsom tillidsgrænser, processer, datalagre, eksterne enheder, protokoller, porte, angrebsvektorer, trusler, afværgeforanstaltninger og eksterne afhængigheder.
Det er en væsentlig teknisk aktivitet, men en trusselsmodel dokumenterer ikke automatisk, at hvert krav i Cyber Resilience Act er behandlet. Producenten har fortsat brug for produktspecifik dokumentation for vurderingen, beslutningerne om gældende krav og den løbende håndtering gennem supportperioden.
Metodegrænser varierer også. Nogle organisationer beskriver trusselsmodellering som et input til risikovurdering, mens andre bruger en metode, der tættere kombinerer trusselsidentifikation og risikoanalyse. Det afgørende er, at den valgte tilgang er klar, gentagelig og kan frembringe den dokumentation, der kræves for produktet.
TARA i bilkonteksten
ISO/SAE 21434:2021 omhandler styring af cybersikkerhedsrisici for elektriske og elektroniske systemer i vejgående køretøjer. Punkt 15 beskriver modulære TARA-aktiviteter, der omfatter:
- identifikation af aktiver;
- identifikation af trusselsscenarier;
- vurdering af konsekvens;
- analyse af angrebsveje;
- vurdering af angrebsrealiserbarhed;
- fastlæggelse af risikoværdi; og
- beslutninger om risikobehandling.
Terminologien er vigtig. ISO/SAE 21434 fastlægger risikoværdien ud fra konsekvens og angrebsrealiserbarhed. Angrebsrealiserbarhed bør ikke blot omdøbes til sandsynligheden for forekomst: Standarden anvender sit eget vurderingsbegreb og sine egne termer.
Dens behandlingsmuligheder omfatter at undgå, reducere, dele og beholde risiko. Det er velkendte valg inden for risikostyring, men TARA-metoden er specifikt afgrænset til bilområdet. Uden for dette område kan teams fortsat lade sig inspirere af tilsvarende logik, men deres dokumentation bør angive den metode, der faktisk anvendes, og undgå at antyde, at ISO/SAE 21434 gælder for et produkt, når den ikke gør det.
Sikkerhed og cybersikkerhed hænger sammen, men er forskellige
Machinery Regulation kræver risikovurdering og risikoreduktion for maskiner. Den omhandler også beskyttelse mod korruption samt styresystemers sikkerhed og pålidelighed. Disse bestemmelser kan gøre cybersikkerhedsanalyse relevant for maskiner, særligt hvor et kompromis kan påvirke styreadfærd eller sikkerhedsfunktioner.
Sikkerheds- og cybersikkerhedsanalyser stiller imidlertid forskellige spørgsmål:
| Område | Centralt spørgsmål | Typisk fokus |
|---|---|---|
| Risikovurdering af maskinsikkerhed | Hvilke farer kan skade mennesker, og hvordan bør risikoen reduceres? | Sikkerhedsrelaterede farer og risikoreduktion |
| Cybersikkerhedsrisikovurdering | Hvilke cybersikkerhedsrisici opstår som følge af produktet og dets anvendelse, og hvordan bør de håndteres? | Trusselsscenarier, beskyttede aktiver, produktkontekst og cybersikkerhedsbehandling |
De bør informere hinanden, når en cybersikkerhedshændelse kan skabe eller forværre en sikkerhedsfare. De bør ikke samles under én betegnelse, som slører nogen af kravsættene.
For produkter, der er omfattet af begge regelsæt, tillader artikel 13, stk. 4, i Cyber Resilience Act, at cybersikkerhedsrisikovurderingen indgår som en del af en risikovurdering, der kræves af anden EU-lovgivning. Det kan understøtte et integreret dokumentationsgrundlag, men fjerner ikke behovet for at vise, hvordan hvert gældende retligt krav er dækket. Uanset om der anvendes ét dokument eller sammenkædede dokumenter, bør sikkerheds- og cybersikkerhedsargumentationen fortsat være sporbar.
En praktisk arbejdsgang for produktvurdering
En nyttig arbejdsgang kan tilpasses produktet og den valgte metode uden at blive præsenteret som den eneste vej til overensstemmelse.
Fastlæg produktkontekst og aktiver
Beskriv det tilsigtede formål, med rimelighed forudsigelig anvendelse, driftsbetingelser, implementeringsmiljø og forventet brugstid. Identificer de aktiver, der kræver beskyttelse, såsom software, konfiguration, legitimationsoplysninger, kommunikation, sikkerhedsrelevante funktioner, servicegrænseflader og data.
Dette giver den produktspecifikke kontekst, der kræves i artikel 13. Det giver også tekniske teams et fælles grundlag for at afgøre, hvilke grænseflader og afhængigheder der kræver opmærksomhed.
Identificer trusselsscenarier
Brug den valgte metode til trusselsmodellering eller vurdering til at identificere troværdige scenarier, der påvirker aktiverne og deres sikkerhedsegenskaber. Registrer systemgrænsen, relevante grænseflader, eksterne afhængigheder og antagelser. Et scenarie bør tydeliggøre, hvad der er mål for angrebet, hvordan et kompromis kan opstå, og hvad der kan blive påvirket.
Målet er ikke at skabe et abstrakt katalog over enhver mulig cyberhændelse. Det er at udarbejde en produktspecifik redegørelse, der kan gennemgås, for de problemstillinger, der er relevante for produktets brug og miljø.
Vurder risici med den valgte metode
Anvend de kriterier, der er defineret for produktet og metoden. Det kan omfatte konsekvens og sandsynlighed eller, i en TARA i bilindustrien, konsekvens og angrebsrealiserbarhed. Behandl ikke disse målinger som udskiftelige, blot fordi de spiller beslægtede roller i risikovurderingen.
Vurderingen bør forklare den anvendte skala, de antagelser, der er foretaget, den dokumentation, der er taget i betragtning, og kriterierne for at acceptere eller eskalere en risiko. Det gør senere gennemgang og opdatering mulig.
Vælg og spor behandlingsbeslutninger
For hver væsentlig risiko skal der træffes beslutning om at undgå, reducere, dele eller beholde den, hvor disse muligheder passer til metoden og organisationens kriterier. Registrer den valgte behandling, de deraf følgende krav eller kontroller, den ansvarlige rolle og dokumentationen for, at implementeringen er kontrolleret.
For et produkt omfattet af Cyber Resilience Act skal resultatet spores til de gældende krav i bilag I. Det bidrager til at vise, hvordan vurderingen informerer design og aktiviteter i livscyklussen, frem for at blive et dokument, der først udarbejdes ved afslutningen af udviklingen.
Hold vurderingen opdateret
Vurderingen bør forblive en del af produktlivscyklusstyringen. Artikel 13 kræver, at den opdateres efter behov i supportperioden. Ændringer af produktet, grænsefladerne, afhængighederne, driftsmiljøet, kendte sårbarheder eller den tilsigtede anvendelse kan kræve, at teamet genovervejer antagelser, scenarier og behandlingsbeslutninger.
FprEN 40000-1-2's status
FprEN 40000-1-2 har aktuelt titlen Principles, product risk management, and lifecycle activities. Projektregistreringen hos CEN-CENELEC viser, at den er under godkendelse, og angiver, at der ikke forventes en henvisning for forordning (EU) 2024/2847.
Den kan være nyttig som en indikation af den aktuelle tekniske retning, men den bør ikke præsenteres som en offentliggjort harmoniseret standard eller som grundlag for en formodning om overensstemmelse. I henhold til artikel 27 i Cyber Resilience Act opstår den begrænsede formodning, der er knyttet til en harmoniseret standard, først når dens henvisning er offentliggjort i Den Europæiske Unions Tidende, og kun for de krav, den dækker.
Dokumentation, der skal bevares
En holdbar cybersikkerhedsrisikovurdering er ikke blot et risikoregister. Den bevarede dokumentation bør gøre det muligt for en anden kompetent gennemlæser at forstå produktet, begrundelsen og de trufne beslutninger. Den bør omfatte:
- produktkontekst, tilsigtet formål, forudsigelig anvendelse, miljø og forventet brugstid;
- identificerede aktiver, grænseflader, afhængigheder og antagelser;
- den valgte metode til trusselsmodellering eller vurdering samt evalueringskriterier;
- trusselsscenarier og dokumentationen, der understøtter deres vurdering;
- risikoværdier eller vurderinger, herunder sondringen mellem sandsynlighed og angrebsrealiserbarhed, hvor det er relevant;
- behandlingsbeslutninger, implementeringssporbarhed og verifikationsdokumentation;
- kortlægningen til gældende krav i bilag I til Cyber Resilience Act; og
- gennemgangsregistreringer og opdateringer foretaget i supportperioden.
Klar terminologi hjælper med at bevare denne dokumentation. Brug trusselsmodel om den strukturerede identifikationsaktivitet, cybersikkerhedsrisikovurdering om den krævede produktspecifikke vurdering, risikostyring om den bredere, løbende cyklus og TARA, når ISO/SAE 21434-metoden for bilindustrien faktisk anvendes.