Security muss mehr denn je von Anfang an mitgedacht werden, um den rasch steigenden Anforderungen und potenziellen Bedrohungen gerecht zu werden. Die COMPUTERWELT sprach mit Helmut Leopold von AIT und Peter Lieber, Geschäftsführer von Sparx Services CE. [...]
Sparx Services CE und AIT haben gemeinsam ein neues Modellierungswerkzeug namens Threatget entwickelt. Was verbirgt sich dahinter?
Peter Lieber Threatget bietet Systemdesignern eine effektive Unterstützung bei Sicherheitsvorkehrungen gegenüber potenziellen Cyberangriffen, also „threats“. Das heißt, dass Systeme mit unserem Werkzeug modelliert werden, um bereits im Design eine automatische Überprüfung auf Cybersicherheitsbedrohungen und Schwachstellen des System durchführen zu können. Threatget ist eine spezielle Erweiterung von Sparx Enterprise Architect.
Erfüllt beispielsweise das Threat Modeling Tool von Microsoft nicht vergleichbare Aufgaben?
Helmut Leopold Viele am Markt verfügbaren Werkzeuge sind hervorragend geeignet, um bisher bekannte und übliche Anforderungen zu erfüllen. Spezielle Werkzeuge, welche kombinierte Safety & Security-Anforderungen schon in der Designphase von Systemen berücksichtigen und mit automatischen Bedrohungskatalogen verknüpfen, wie es die AIT ThreatGet-Technologie realisiert, ist eine coole Lösung mit einem beträchtlichen Marktvorsprung. Sparx Services bietet diese „Cyber Security Modeling“- Technologie als Systemlösung in seinem Produktportfolio (https://cybersecurity.sparxservices.eu) für verschiede Industrien (Automotive, Transportation und Kritische Infrastrukturen) an. Auch weitere Tools mit AIT Technologie sind in Planung.
Was war der Anstoß für die Entwicklung?
Lieber Heute gibt es nichts, das nicht technisch machbar wäre. Früher konnte sich die IT durch die technischen Barrieren sehr gut schützen. Man konnte sehr gut definieren, wo Security anfing und wo sie aufhörte. Mit der digitalen Transformation hat sich das grundlegend geändert. Das führt zu einer neuen Verantwortung und benötigt einen Paradigmenwechsel, da der einzelne Designer oder Entwickler zunehmend überfordert ist.
Leopold Wir müssen sehen, dass wir immer komplexere Systeme bauen. Die Realisierung von laufenden Innovationen, neue Funktionalitäten, das Bauen von „Systems of System“ führt zu immer aufwendigeren Implementierungen, wo wir als Designer und Entwickler von Systemen immer mehr gefordert werden, um die Systeme auch entsprechend zu testen. Neue Zertifizierungsvorschriften, die in den verschiedene Märkten entstehen, um Produkte auf den Markt zu bringen, werden uns alle als Hersteller und als Betreiber von digitalen Systemen in unserer Entwicklungsarbeit sehr herausfordern. Um diese Anforderungen und die zunehmende Komplexität zu beherrschen, brauchen wir neue leistungsfähige Werkzeuge, um unsere digitalen vernetzten Systeme nachhaltig sicherer und verfügbarer zu machen – die Stichworte dazu sind: „Security & Safety by Design“ und „Model-based Development“.
Genießen gerade kritische Infrastrukturen nicht traditionell einen hohen Sicherheitslevel?
Leopold Bisher lag der Fokus in der nachhaltigen Sicherstellung von Safety-Anforderungen; d.h. dass Systeme auch in Fehlerfällen trotzdem die definierte Funktion beibehalten und kein Schaden für Maschinen und für Menschen entsteht. Oft war bisher auch ein impliziter Schutz dadurch gegeben, dass proprietäre IT-Systeme im Einsatz waren, und dass sie nicht immer an ein Kommunikationssystem angeschlossen waren. In der neuen digitalen und global vernetzten Welt entstehen ganz neue Bedrohungsszenarien, die erst in ihrem Bedrohungspotenzial erfasst und analysiert werden müssen, um dann auch entsprechende Gegenmaßnahmen vorzusehen – in der Technik, in Architektur, Prozessen und Fähigkeiten von Mitarbeiterinnen und Mitarbeitern. Der notwendige Schutz vor den neuen Cyber Security-Bedrohungen hat nun eine neue Dimension erreicht, welche die gleiche Priorität hat, wie die bisher sehr gut bekannten Safety-Anforderungen.
Lieber Dieses Prinzip gilt für viele Bereiche. Für Safety-Systeme etwa in der Automobilbranche wird sehr viel Geld ausgegeben, damit Menschen nicht zu Schaden kommen. Bei Security hingegen gibt es noch wenig Awareness. Genau da sehe ich eine große Chance für Europa – ein aktuelles Beispiel ist „Secure IoT“.
Wie bekommt man die zahllosen Anforderungen und Bedrohungsszenarien überhaupt in den Griff?
Leopold Um ein sicheres System zu bauen, ist einerseits ein fokussiertes Risikomanagement notwendig, d.h., was will ich wie schützen. Und dann braucht es Werkzeuge, die einen Entwickler während der Design- und Entwicklungsphase laufend unterstützen und entweder Hinweise geben oder automatisch Kontrollen durchführen, damit bestimmte Anforderungen auch wirklich im Systemdesign und in der Implementierung richtig berücksichtigt werden. Am AIT wurde z.B. dazu ein ein eigenes Bedrohungsmodell und ein entsprechender Bedrohungskatalog entwickelt, der die Grundlage für ein sicheres Systemdesign im Industriesteuerungsumfeld darstellt.
Wen wollen Sie mit Threatget ansprechen?
Lieber Threatget adressiert zum Beispiel Enterprise-Architekten. Das klingt für manche Vorstände nach IT, daher werden sie in den Keller geschickt, wo die IT traditionell beheimatet war. Doch die IT ist am Weg nach oben, wobei sie bei jedem Stockwerk aussteigen muss, was ein mühevoller Prozess ist. Es geht in Wahrheit um Unternehmensarchitektur. In dieser müssen ja die Wertschöpfungskette und Business Prozesse bis hinunter zu den Operations- und IT-Prozessen abgebildet werden können. Es gibt in Österreich noch wenige Enterprise-Architekten, die Erste Bank ist so ein Beispiel, wo eine Frau für die Architektur verantwortlich ist, was mich sehr freut. Zum Glück findet also gerade ein Paradigmenwechsel statt. Für eine erfolgreiche Architektur braucht es nämlich Leute, die Security von Anfang an mitdenken. Und wir unterstützen sie dabei.
Leopold Ich sehe zusätzlich zwei Gruppen: Unternehmen, die Software selbst entwickeln und jene, die Software zukaufen. Gerade in der agilen Welt, in der Produkte schnell auf den Markt kommen müssen, um wettbewerbsfähig zu sein, sind Entwickler rasch mit den zahllosen Anforderungen und potenziellen Bedrohungen überfordert. Threatget begleitet den Prozess über den gesamten Entwicklungscycle hinweg – vom Design bis zum Testen. Für die, die nicht selbst Software entwickeln, sondern große System zusammenbauen und betreiben – zum Beispiel große Energieanbieter oder Netzbetreiber –, stehen vor folgendem Problem: Wie kommen etwa die Daten vom Smart Meter zur Kontrolleinheit? Um das herauszufinden, brauchte es das Studium von tausenden Dokumenten, die dabei helfen sollten, mögliche Schwachstellen zu identifizieren. Wenn dieser Prozess aber wie bei Threatget modelliert wird, können potenzielle Bedrohungen automatisiert erkannt werden.
Wie ist es zu der Kooperation gekommen?
Lieber Wir gehören zu den wenigen Software-Unternehmen, die sich schon lange mit Forschungsthemen auseinandersetzen. Das heißt, wir forschen selbst und gehen Kooperationen ein. Bekanntlich ist Forschung meist universitär. Das Problem mit Universitäten ist, dass sie sich mit Dingen beschäftigen, die oft fünf bis zehn Jahre weit weg vom Markt sind. Fachhochschulen sind deutlich näher dran. AIT ist die größte außeruniversitäre Forschungseinrichtung ain Österreich, die auch Industriebezug hat. Es wird auch weit in die Zukunft geforscht, aber auch versucht, Lösungen in den Markt zu bringen. Man hört also nicht mit der theoretischen Lösung eines Problems auf, sondern begleitet auch den letzten Schritt – was ich sehr spannend finde, denn AIT hat mehrere Tausend Mitarbeiter und wir 30.
Warum ist die Zusammenarbeit für AIT wichtig?
Leopold Wir erhalten von den Eigentümern 40 Prozent Grundlastfinanzierung, was uns von Privatunternehmen unterscheidet und gewisse Freiheiten etwa in der Grundlagenforschung verleiht. Die restlichen 60 Prozent müssen wir am Markt verdienen, das heißt, wir verkaufen Knowhow oder Expertise, in anderen Fällen, wie im IT-Bereich, meist Software. Die Software hat einen bestimmten Reifegrad, auf dem ein Unternehmen, das sich Entwicklungskosten und -risiken erspart, aufbauen kann. Das Go-to-Market funktioniert nur mit Partnern, die wie Sparx Services CE visionär sind, sich trauen und die Produktausprägung sowie die Arbeit mit den Kunden übernehmen.
Wodurch profitiert Sparx Services CE?
Lieber Wir hätten nie die Ressourcen gehabt, etwas wie Threatget alleine zu entwickeln, das das Potenzial für einen Gamechanger besitzt. Sparx Services CE ist zwar klein, übt aber einen großen Impact auf den Markt aus. Allein im deutschsprachigen Raum haben wir 120.000 User, weltweit 750.000. Der zweiter Aspekt, von dem wir profitieren, ist Glaubwürdigkeit. Wir als 30-Mann-Unternehmen können beispielsweise einem deutschen Automobilhersteller nicht die Welt erklären. Durch AIT haben wir bei Großunternehmen einen hohen Grad an Glaubwürdigkeit in bestimmten Fachthemen gewonnen.
Wie sieht es mit dem aktuellen Markt für Cybersicherheitsmodellierung aus und der Marktreife von Threatget aus?
Leopold Wir beschäftigen uns meist mit Themen, bei denen die Problemstellung meist noch nicht so sichtbar ist, Es kann sein, dass der Markt noch nicht so weit ist oder das Thema noch nicht verstanden wird. Eines ist sicher: Threatget wird früher oder später all jene System Designer ansprechen, die Security von Anfang an mitdenken.
Lieber Wir haben derzeit die „Präsentationsreife“ erreicht und arbeiten bereits mit einem deutschen Autohersteller sehr eng zusammen. Jetzt geht es darum, einen marktfähigen Preis zu finden. Wir werden auch gemeinsam auftreten. Wir sind die Werkzeugbauer. Die Kompetenz für die Erklärung, was das Thema bedeutet, liegt derzeit bei AIT. Wir überlegen uns auch, ein Consulting-Paket zu schnüren, bei dem AIT-Experten eine wesentliche Rolle spielen. Wir konnten beobachten, dass der Markt bereits begonnen hat, auf die Thematik aufzuspringen. So gab es vor kurzem in München eine Konferenz zu diesem Thema.
Helmut Leopold & Peter Lieber
DI Helmut Leopold, PhD, ist Head of Center Digital Safety and Security beim AIT Austrian Institute of Technology. In dieser Rolle verantwortet er wesentliche Forschungsschwerpunkte im Bereich der Digitalisierung zu Schlüsseltechnologien wie IT-Sicherheit, Data Science, Blockchain, und künstliche Intelligenz. Zuvor war er unter anderem Technologiechef der Telekom Austria und Chairman des Broadband Service Forums (BSF) in San Francisco.
Peter Lieber ist mehrfacher Unternehmensgründer in der Softwarebranche und seit 2014 Präsident des Verbandes der Österreichischen Software Industrie (VÖSI). Seine jüngste Neugründung Sparx Services Central Europe konzentriert sich wie seine weiteren Unternehmen auf die sogenannte modellbasierte Entwicklung von Software und ganzen Systemen. Dieser neue Ansatz stellt eine zentrale technologische Säule für komplexe Systemprojekte wie für Industrie 4.0 dar.
Be the first to comment