Sicherheit bleibt für Unternehmen auf der ganzen Welt eine sich wandelnde Herausforderung, und neue Bedrohungen und Schwachstellen erhöhen den Druck auf Anbieter, ihr Cybersicherheitsprofil zu verbessern. Kunden, Regierungen und Unternehmen erkundigen sich heute eher nach der Sicherheit von Produkten und Prozessen eines Unternehmens als je zuvor.
Und obwohl keine einzelne Taktik, Praxis, kein Prozess und keine Technologie Sicherheit garantieren kann, ist es wichtig, grundlegende Maßnahmen zur Verbesserung der Sicherheitsinfrastruktur einzuführen oder zu modernisieren. Das kann jedoch eine gewaltige Aufgabe sein, insbesondere wenn es um die Produktsicherheit geht.
Hier einige praktische Ratschläge für Unternehmen, die ihr Cybersicherheitsprofil erstellen oder verbessern möchten.
Siehe auch: Der erfolgreiche CISO: So bauen Sie Vertrauen bei Stakeholdern auf
Das Cybersicherheitsprofil verbessern
In den vergangenen Jahren hat Sicherheit im Produktentwicklungszyklus (PDL) eine immer wichtigere Rolle gespielt. Daher konzentrieren sich Entwickler, Ingenieure und Produktteams heute intensiv darauf, sichere Produkte zu entwickeln.
Bei der Produktsicherheit gibt es drei große Bereiche – Integration, Automatisierung und Community-Engagement –, auf die man sich bei der Verbesserung des Cybersicherheitsprofils eines Unternehmens konzentrieren sollte.
Sichere und Produktentwicklungszyklen integrieren
Integration ist bei der Produktentwicklung entscheidend. Doch viele Unternehmen integrieren den Produktentwicklungszyklus heute nicht mit dem sicheren Entwicklungszyklus (SDL).
Es gibt eine Bewegung, Sicherheit im Lebenszyklus nach vorne zu verlagern – vom Betrieb in Richtung Entwicklung –, um Schwachstellen frühzeitig zu erkennen und zu verhindern. Dazu kann auch ein Lebenszyklus gehören, der demjenigen vorausgeht, in dem ein Unternehmen Wertschöpfung betreibt.
Wenn Hardware oder Software von Drittanbietern nicht überprüft wird, sind Schwachstellen möglicherweise schwerer zu entdecken und zudem weiter verbreitet, was ihre Behebung erschweren kann. So wurde beispielsweise berichtet, dass der Equifax-Datendiebstahl im Jahr 2017 auf eine Schwachstelle in Open-Source-Software zurückzuführen war. Und erst kürzlich reagierte die Welt auf eine weitere Open-Source-Schwachstelle in Log4j.
Produkte von Anfang an mit Blick auf Sicherheit zu entwickeln und von Anbietern Transparenz bei ihren Sicherheitspraktiken zu verlangen, ist ein guter Ausgangspunkt für die Verbesserung der Sicherheit.
Umfassende Bedrohungsmodellierung einbeziehen
Beziehen Sie zu Beginn des Entwicklungsprozesses eine umfassende Bedrohungsmodellierung ein. Machen Sie sich dabei klar, was für den Kunden am wertvollsten ist und wie dies bedroht werden könnte.
Erstellen Sie Anwendungsfälle, schulen Sie Entwickler aber auch darin, wie ein Hacker zu denken, um Gefahren bei nicht vorgesehenen Nutzungen einzuschätzen. Richten Sie außerdem Kontrollpunkte ein, die ein Produkt passieren muss, bevor es zur Auslieferung freigegeben werden kann.
Das funktioniert nicht ohne die Unterstützung der Führungskräfte im gesamten Unternehmen. Daher ist es in der Regel sinnvoll, von vornherein damit zu rechnen, dass Ausnahmegenehmigungen beantragt werden, und einen Eskalationsweg festzulegen, der die Freigabe durch die Führungskräfte von Produkt- und Sicherheitsteams vorsieht.
Letztlich sollten PDL und SDL zu einem einzigen Prozess verschmelzen, der Elemente aus Sicherheit, Datenschutz, Funktionalität und Qualität umfasst.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Mitarbeiter in den Grundlagen der Produktsicherheit schulen
Schulen Sie alle Entwickler und Ingenieure in den Grundlagen der Produktsicherheit und stellen Sie sicher, dass sie verstehen, dass Sicherheit zu ihren Aufgaben gehört. Lassen Sie sie außerdem wissen, dass Experten für ihre Unterstützung zur Verfügung stehen.
Wenn ein Unternehmen nicht jedem Produktteam eine Sicherheitsfachkraft zuordnen kann, sollte es erwägen, „Security Champions“ auszubilden und zu benennen. Diese können Produktteams dabei helfen, bei Best Practices und Tools für Sicherheit auf dem neuesten Stand zu bleiben. Außerdem können sie für einheitliche Erwartungen im gesamten Produktportfolio eines Unternehmens sorgen. Heute ist diese Rolle häufig noch eine Nebenaufgabe; in Zukunft dürfte sie jedoch häufiger als Vollzeitstelle ausgeübt werden.
Erkennung von Bedrohungen und Schwachstellen automatisieren
Automatisierung bietet bei richtiger Anwendung einen enormen Mehrwert für die Sicherheitsprüfung. Sie ermöglicht es Produktteams, nach bekannten Schwachstellen zu suchen, und entlastet gleichzeitig die Ingenieure.
Code manuell zu überprüfen, kann sehr arbeitsintensiv sein. Automatisierung vereinfacht und beschleunigt die Suche nach Bedrohungen und Schwachstellen. Beachten Sie Folgendes:
- Beginnen Sie damit, Ihren eigenen Code auf Fehler zu untersuchen. Viele handelsübliche statische Analysetools können den Code auf Muster untersuchen, die auf wahrscheinliche Schwachstellen hindeuten, die Entwickler möglicherweise übersehen, etwa Pufferüberläufe, Integer-Überläufe oder Rechenfehler.
- Überprüfen Sie anschließend mithilfe von Tools zur Kompositionsanalyse Komponenten von Drittanbietern auf bekannte Schwachstellen.
- Investieren Sie dann in Cybersicherheitstools, die öffentlich bekannt gemachte Schwachstellen überprüfen, etwa Scanner und Fuzzer. Auch wenn es verlockend sein mag, mit fortschrittlichen Tools zu beginnen, ist es normalerweise am besten, zunächst einfach anzufangen und bei Bedarf schrittweise auf fortgeschrittenere Funktionen umzusteigen. Es gibt zahlreiche handelsübliche und Open-Source-Scanner und -Fuzzer.
Sich an der Community beteiligen
Der letzte Ratschlag betrifft das Community-Engagement. Kein Unternehmen sollte isoliert handeln. Zur Sicherheitscommunity gehören Standardisierungsgremien wie das National Institute of Standards and Technology (NIST), die Trusted Computing Group (TCG) und die International Standardization Organization (ISO).
Auch die Forschungs- und Wissenschaftsgemeinschaften sind wichtige Partner im Kampf gegen Cyberbedrohungen. Selbst das US-Verteidigungsministerium investiert in „Hack a Satellite“, bei dem Sicherheitsforscher echte Satelliten hacken dürfen.
Beim Community-Engagement geht es um den Aufbau von Beziehungen. Bei der koordinierten Veröffentlichung von Schwachstellen sollten Sie einen Rahmen schaffen, der eine zeitnahe Veröffentlichung durch Wissenschaftler unterstützt, und erwägen, die Meldung zutreffender Schwachstellen zu vergüten. Die Vergütung kann finanzieller oder symbolischer Art sein (z. B. T-Shirts).
Weitere Bereiche des Community-Engagements, die Sie in Betracht ziehen sollten, sind:
Ein Product Security Incident Response Team einrichten
Etablieren Sie Prozesse für den Empfang und die Verwaltung von Schwachstellenmeldungen. Product Security Incident Response Teams (PSIRT) können den gesamten Prozess von der Entdeckung über die Triage, Eindämmung und Behebung bis zur Veröffentlichung verwalten.
Ein PSIRT besteht aus Personen, die komplexe technische Ansätze von Ingenieuren oder Entwicklern verstehen und zugleich mit Kunden und anderen Mitgliedern des Ökosystems kommunizieren können.
Idealerweise überwacht ein einzelnes PSIRT-Mitglied ein Problem von der ersten Meldung bis zur Veröffentlichung. Ideen für die ersten Schritte finden Sie im PSIRT Services Framework.
Ethische Hacker ermutigen, beim Finden von Schwachstellen zu helfen
Unternehmen mit einem ausgereiften Schwachstellenmeldeprogramm sollten ethische Hacker ermutigen, beim Finden von Schwachstellen zu helfen. Dies kann mit einer allgemeinen E-Mail-Adresse für Einsendungen beginnen. Um diesen Prozess zugänglicher zu machen, erstellen Sie eine Webadresse mit konkreten Anweisungen und zusätzlichen Informationen dazu, wie diese Schwachstellen gemeldet werden können.
Zu den modernen Ansätzen gehören kreative Veranstaltungen wie Hackathons oder Capture-the-Flag-Wettbewerbe, bei denen Einzelpersonen oder Teams innerhalb eines bestimmten Zeitraums nach Schwachstellen suchen.
Siehe auch: Die besten Website-Scanner
Fazit
Unternehmen auf der ganzen Welt arbeiten daran, ihre Cybersicherheitsprofile zu verbessern, um bessere Produkte bereitzustellen und ihrer gesellschaftlichen Verantwortung gerecht zu werden. Unternehmen wie Microsoft, Salesforce und Google geben dabei hervorragende Beispiele. Diese praktischen Ratschläge sind nur die Spitze des Eisbergs, wenn es um Maßnahmen geht, mit denen Unternehmen die Sicherheitsprüfung in ihren Produktteams verbessern können – aber sie sind ein hervorragender Ausgangspunkt.
Über den Autor:
Camille Morhardt, Director of Security Initiatives für das Security Center of Excellence bei Intel