Digitalisierung der Zertifizierung durch geeignete Werkzeuge

Information: YAKINDU Security Analyst Is Now itemis SECURE

Information: YAKINDU Traceability Is Now itemis ANALYZE

In diesem Artikel zeige ich dir geeignete Werkzeuge für die Zertifizierung nach Common Criteria (CC), IT-Grundschutz, PCI-DSS und TR. Du erfährst, wie du sie einsetzt, um Zeit bei der Zertifizierung einzusparen und automatisiert auf geänderte Anforderungen reagieren zu können.

Im ersten Teil „Zertifizierung in der digitalen Transformation“ dieser zweiteiligen Blogserie habe ich verschiedene Zertifizierungsverfahren sowie die Herausforderungen bei der Zertifizierung vorgestellt.

Nun geht es um konkrete Lösungen.

Cyber-Kriminalität nimmt stetig zu. Die Angreifer verfügen über neueste Technologien, und Hacker-Attacken werden immer ausgefeilter. Man möchte meinen, es herrsche Krieg an der digitalen Front. Und in der Tat: Das Wort „Ingenieur“ wurde aus dem Französischen als „Kriegs-Bau-Meister“ ins Deutsche übersetzt. Dieser sollte sich um die Konstruktion und den Bau von Kriegsmaschinen und Befestigungsanlagen kümmern.

Unsere heutigen Language- und Software-Ingenieure bauen keine Kriegsmaschinen mehr, sondern Werkzeuge, die helfen sollen, der Cyber-Kriminalität entgegenzuwirken.

Wie in der Vorstellung der Zertifizierung nach Common Criteria beschrieben, muss das Vertrauen in das Konzept und die Umsetzung in zwei Phasen hergestellt werden, nämlich der Evaluierung des Konzepts und der des Produkts.

Für die Unterstützung beider Phasen stellen wir nun zwei Werkzeuge der itemis-Produkt-Familie vor. Für die Schutzbedarfsanalyse nutzen wir YAKINDU Security Analyst (now itemis SECURE), und für die Verwaltung der Anforderungen und die Evaluierung des Produkts YAKINDU Traceability (now itemis ANALYZE).

Beide Werkzeuge sind durch den Einsatz domänenspezifischer Sprachen sehr flexibel und lassen sich auf unterschiedliche Bedürfnisse zuschneiden. Im Zusammenspiel bilden YAKINDU Security Analyst (now itemis SECURE) und YAKINDU Traceability (now itemis ANALYZE) eine Werkzeugkette, die alle Phasen in der Zertifizierung optimal abdeckt.

Schutzbedarfsanalyse und Vertrauen in das Konzept

Unabhängig vom Verfahren haben alle Zertifizierungen die Analyse des Schutzbedarfs gemein. Der Schutzbedarf wird in der Zertifizierung nach Common Criteria zum Beispiel in einem Security Target (ST) verfasst und evaluiert.

Beim IT-Grundschutz dient das IT-Grundschutz-Kompendium dazu, den Schutzbedarf zu ermitteln. Unabhängig von der Zertifizierung ist die Vorgehensweise bei der Analyse immer gleich und wird in den CC wie folgt dargestellt:

Der YAKINDU Security Analyst (now itemis SECURE) (YSA) wurde für die Risikoanalyse in der Automobilindustrie entwickelt und erfüllt bereits jetzt alle Anforderungen, um bei der Evaluierung eines Security Targets oder Protection Profiles eingesetzt zu werden. Die Architektur des YAKINDU Security Analyst (now itemis SECURE) beschreibt nativ die in CC definierte Vorgehensweise:

Damit der Security Analyst zu einem gut geeigneten Werkzeug für die CC-Zertifizierung wird, müssen die normativen Definitionen aus der CC-Dokumentation in die YSA-Datenbank übernommen werden.

Durch eine Import-Funktion des YAKINDU Security Analyst (now itemis SECURE) können Änderungen in der CC in neue oder laufende Evaluierungsverfahren automatisiert übernommen werden.

Ein entscheidender Vorteil des YSA ist die Basis auf MPS von JetBrains.

Das Werkzeugsystem basiert auf einer visuellen domänenspezifischen Sprache (DSL), womit auf der gleichen Datenstruktur abhängig vom Einsatzzweck unterschiedliche Visualisierungen eingerichtet werden können.

So kann für die funktionale Beschreibung eines Evaluierungsgegenstandes (TOE, englisch: Target Of Evaluation) eine andere Visualisierung als für die Beschreibung des Life-Cycles benutzt werden. Folglich kann für jede Domäne eine eigens optimierte DSL eingeführt werden.

Übertragen auf den Bereich des IT-Grundschutzes können für unterschiedliche Branchen individuell angepasste Visualisierungen und Templates hergestellt werden um optimale Unterstützung zu bieten, wie sie zum Beispiel von der Allianz für Cyber-Sicherheit für den IT-Grundschutz vorgeschlagen werden:

Darüber hinaus bietet MPS die Möglichkeit, Generatoren für die Erstellung von Dokumenten zu integrieren.

Wie bereits festgestellt, ist die Menge der Dokumente für jede EAL-Stufe eindeutig definiert. Die Menge der Anforderungen ist für jedes Produkt ebenfalls in einem ST genau festgehalten. Damit besteht kein Grund, die Dokumentvorlagen für die Evaluierung nicht zu generieren. Dafür muss das Produkt als ein Modell in einem geeigneten Werkzeug erfasst sein:

Mit seinen Eigenschaften bietet YAKINDU Security Analyst (now itemis SECURE) die Möglichkeit modellbasierte Risikoanalysen durchzuführen. Die Modellierung kann für beliebige Domänen und Zertifizierungsverfahren angepasst werden.

Durch automatischen Import ist die Reaktionszeit auf Veränderung der Vorgaben für die Zertifizierung auf ein Minimum reduziert. Neben der Analyse kann der YSA die Dokumentation vollständig generieren.

Produkt-Evaluierung und das Vertrauen in die Umsetzung

In der letzten Phase der Zertifizierung werden das TOE und die Dokumentation evaluiert. Die Vorgehensweise visualisiert CC wie folgt:

In dieser Phase besteht eine der Herausforderungen darin, alle Security Functional Requirements (SFR) aus dem ST über alle Dokumente zu verwalten und synchron zu halten.

Für diese Aufgabe ist YAKINDU Traceability (now itemis ANALYZE) (YT) perfekt geeignet, da es exakt die geforderte Funktionalität besitzt. Wenn das Security Target mit dem YAKINDU Security Analyst (now itemis SECURE) erstellt wurde, können daraus bereits alle Dokumentvorlagen für die Evaluierung mit entsprechenden Verknüpfungen generiert werden.

Der manuelle Import der Dokumente in YAKINDU Traceability (now itemis ANALYZE) ist alternativ ebenfalls möglich.

YAKINDU Traceability (now itemis ANALYZE) enthält zahlreiche Konnektoren, die viele verschiedene Dokumente und Systeme miteinander verknüpfen können. Damit haben die Entwickler und Evaluatoren eine Möglichkeit, die Anforderungen in Dokumenten automatisiert zu verfolgen und synchron zu halten.

In diesem Fall besteht die Möglichkeit, die Anforderungen neben Dokumenten auch im Quellcode aus beliebigen Entwicklungsumgebungen oder diversen Systemen zu verknüpfen, beispielsweise in Excel, Word, Enterprise Architect, DOORS, Eclipse sowie vielen weiteren Anwendungen.

Dieser Ansatz ist vor allem für agile Entwicklungsansätze gewinnbringend.

Grundsätzlich bietet YAKINDU Traceability (now itemis ANALYZE) Funktionalitäten wie Datenaustausch, ‑verlinkung, ‑synchronisation und ‑navigation und ermöglicht Reportgenerierung für die Visualisierung des Projektfortschritts.

All diese Funktionen können in der zweiten Phase, bei der Zertifizierung des Produktes, sinnvoll eingesetzt werden und sowohl die Entwickler als auch die Evaluatoren unterstützen. Darüber hinaus profitiert das Projektmanagement durch transparente und aufbereitete Anzeige des Projektfortschritts.

Verknüpft mit dem YAKINDU Security Analyst (now itemis SECURE) wird in laufenden Zertifizierungen die Reaktionszeit auf Änderungen von Anforderungen, durch zum Beispiel das BSI, oder Anpassungen der Schutzziele deutlich verkürzt, was die Dauer der Zertifizierung entscheidend beeinflusst.

Die Notwendigkeit der Zertifizierung ist unbestritten in allen Bereichen der IT angekommen. Ungeklärt ist lediglich die Frage, wie zertifiziert werden soll.

Durch die Verknüpfung von YAKINDU Security Analyst (now itemis SECURE) und YAKINDU Traceability (now itemis ANALYZE) entsteht für die Zertifizierung ein mächtiges Werkzeug, das in allen Phasen der Zertifizierung und in beliebigen Domänen eingesetzt werden kann.

Diese Werkzeuge leiten den Entwickler durch die Zertifizierung und vermeiden überflüssige Iterationen im Prozess. Dies führt nachweislich zu einer beschleunigten Bearbeitung und Evaluierung der Dokumente.

Außerdem wird die Qualität der Dokumentation durch die Generierung gesteigert.

Stehst du vor einer Zertifizierung oder bist du bereits mittendrin?

Möchtest du wissen, wie der Sicherheitsbedarf ermittelt wird?

Ist die Dokumentation für die Gutachter eine Herausforderung oder möchtest du IT-Grundschutz strukturiert und nachhaltig etablieren?

Wir können dir helfen: durch unsere Expertise und die richtigen Werkzeuge.

Hast du noch Rückfragen allgemeiner Natur oder Anmerkungen zu diesem Artikel?
Hinterlasse mir gerne einen Kommentar! Ich freue mich auf dein Feedback.