Wie gelingt eine sichere Datenablage, ein geschützter Datenaustausch auch an unsicheren Orten? Besonders für weltweit agierende Unternehmen stellt sich diese Frage immer ?fter. Die preisgekr?nte Plattform OSIRIS kann genau das. Bei ihrer Entwicklung setzte Janz Tec von Beginn an auf die Zusammenarbeit mit dem Fraunhofer-Institut für Entwurfstechnik Mechatronik IEM. Nach dem Prinzip ?Security by Design“ begleitete das Forschungsinstitut die Erarbeitung des Sicherheitskonzeptes und prüft auch das fertige Produkt auf Herz und Nieren. Konkret hei?t das: Die Forscher versuchen, OSIRIS zu hacken.
?Bisher ist uns das nicht gelungen, sowohl Soft- als auch Hardware von OSIRIS sind extrem sicher“, stellt Sven Merschjohann, Wissenschaftler am Fraunhofer IEM, gleich zu Beginn klar. ?Trotzdem: Vor allem Software ist niemals ?fertig‘. St?ndig müssen zum Beispiel aktuelle Versionen aufgespielt werden.“ Deshalb hat Sven Merschjohann besonders darauf geachtet, dass OSIRIS über einen zuverl?ssigen Mechanismus für zukünftige Softwareupdates verfügt.
Regelm??ige Aktualisierungen sind nur ein Bestandteil des Sicherheitskonzeptes, das Janz Tec, Paderborner Experte für industrielle Computersysteme, gemeinsam mit den Wissenschaftlern des Fraunhofer IEM eigens für seine mit dem Pr?dikat ?BEST OF 2017“ beim INNOVATIONSPREIS IT 2017 ausgezeichnete Secure Appliance L?sung erstellt hat. Das fertige Sicherheitskonzept ist Ergebnis umfangreicher Arbeiten bereits im Produktentwicklungsprozess: Das Thema Sicherheit wurde bei OSIRIS gleich zu Beginn in der Konzeptphase als explizite Anforderung an Hard- und Software aufgenommen. ?Dieser integrative Ansatz verringert zum einen unsere Entwicklungszeit, zum anderen haben wir nun ein Produkt mit perfekt abgestimmten Sicherheitskomponenten, die nicht erst nachtr?glich – also im Ernstfall – nachgerüstet werden müssen“, erl?utert Dr. Markus von Detten, Leiter Systems Engineering und Softwareentwicklung bei Janz Tec.
IT-Sicherheit: bedarfsgerecht für jedes Budget
Der ganzheitliche Ansatz, der Ma?nahmen zur Entwicklung sicherer software-intensiver Systeme von der Anforderungserhebung bis hin zum fertigen Produkt direkt integriert, nennt sich ?Security by Design“. Noch im Entwurfsstadium von OSIRIS führten die Entwickler eine umfangreiche Bedrohungsanalyse durch. Aus verschiedenen Szenarien zu Schwachstellen im System oder zu Angriffen von au?en leiteten sie Schutzziele ab, die sie im weiteren Entwicklungsprozess stets im Blick behielten.
Gerade für kleine und mittlere Unternehmen ist es wichtig, hierbei den Kosten-Nutzen-Aspekt zu berücksichtigen. Um das Entwicklungsbudget und auch die Kosten für das Endprodukt nicht durch unn?tige Features zu belasten, sollte kritisch hinterfragt werden, welche Sicherheitsma?nahmen für das jeweilige Produkt tats?chlich n?tig sind. ?Ich bin überzeugt, dass es auch für mittelst?ndische Unternehmen pragmatische L?sungen mit überschaubaren Kosten gibt. IT-Security kann sich jeder leisten: Mit einem vernünftigen und bedarfsgerechten Konzept“, so Sven Merschjohann.
OSIRIS ist eine gro?e L?sung für die Industrie, die viel k?nnen muss: Es geht um einen sicheren Au?enposten für Produkt- und Prozessdaten, einen sicheren und effizienten Datenaustausch zwischen weltweit verteilten Teams oder ganzen Produktionsst?tten mit dem heimischen Server.
Daten sollen lokal sicher abgelegt werden und ?unter Aufsicht“ mit der Zentrale synchronisiert werden. Deshalb ist das Sicherheitskonzept von OSIRIS umfangreich und erfüllt h?chste Standards. Detailliert beschreibt es sowohl den physischen Aufbau als auch die Softwarestruktur und gibt an, welche Ma?nahme in welchem Szenario greift. Die Wissenschaftler vom Fraunhofer IEM haben die einzelnen Vorkehrungen sorgf?ltig geprüft: Wo und wie liegen sensible Informationen physisch auf der Plattform? Welche kryptographischen Methoden werden verwendet? Werden ausreichend Authentizit?tsnachweise gefordert? Entsprechen die Verschlüsselungen den g?ngigen Standards? Sind für OSIRIS regelm??ige Softwareupdates auch im laufenden Betrieb vorgesehen? Orientierung zu Richtlinien und Standards bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI), die internationale ISO/IEC 27000-Reihe sowie die IEC 62443, die die Grundlage der Arbeit der Wissenschaftler am Fraunhofer IEM war.
Auf dem Prüfstand
Exzellente Software-Entwickler und die Handbücher des BSI hat Janz Tec selbst. Trotzdem h?lt Dr. Markus von Detten eine Zusammenarbeit mit den Fraunhofer-Forschern für unerl?sslich: ?Unsere Kunden verlassen sich auf die uneingeschr?nkte Sicherheit unserer Produkte, da sichern wir uns doppelt ab, mit einem neutralen Blick von au?en.“
Diese doppelte Absicherung führt so weit, dass sich Sven Merschjohann schlie?lich in die Rolle eines potenziellen Angreifers versetzt. Systematisch versucht er, Sicherheitslücken der OSIRIS-Software zu finden und sich – dieses Mal ohne Zugangsberechtigung - Zugriff auf die Plattform zu verschaffen. So stellt Janz Tec sicher, dass die Daten seiner Kunden bestm?glich abgesichert sind und nicht in H?nde unberechtigter Dritter gelangen k?nnen. Würde sich ein Einfallstor finden, k?nnte Janz Tec diesen Fehler sofort an seine Kunden kommunizieren und ihn beim n?chsten Update beheben. Bei OSIRIS kratzt Sven Merschjohann jedoch vergeblich an der Tür: Alle Schl?sser bleiben versiegelt.
Diesen Text und die Fotos finden 360直播吧 auch unter:
