Im ersten Teil dieser Blogpost-Serie Kennen Sie Ihre Anlagen? wurde die Bedeutung der Bedrohungsmodellierung für Produktionsunternehmen sowie die CERTAINITY-Modellierungstechnik und das zugrundeliegende Metamodell vorgestellt. Diese Modellierungstechnik ermöglicht eine umfassende Modellierung und Bewertung von Bedrohungen und Risiken anhand von drei Abstraktionsebenen.

Dieser Blogpost behandelt die CERTAINITY-Methode der Bedrohungsmodellierung für Produktionsunternehmen, basierend auf dem Datenflussmodell der Modellierungstechnik.

Im Folgenden wird die empfohlene Methode beschrieben und gezeigt, wie diese ermöglicht Bedrohungen bereits in der Design-Phase zu erkennen und Risiken zu bewerten, sowie zu mitigieren. Dies hilft Produktionsunternehmen, sicherere Systeme zu entwickeln und die Konformität mit dem European Cyber Resilience Act und den IEC 62443-Standards zu erreichen.

Warum es sinnvoll und nutzbringend ist die eigene Infrastruktur mit distributed Dinal of Service Angriffe zu testen. weiterlesen...

Ich habe an einem Webinar in Bezug auf „Betrugsfallen & Fakes im Internet“ der Arbeiterkammer Oberösterreich teilgenommen und war positiv überrascht, wie viele Menschen auch in fortgeschrittenem Alter ebenfalls daran teilgenommen haben. Dies hat mich so positiv überrascht, dass ich ein paar Gedanken hierzu mitgeben möchte. In unserer heutigen digitalen Welt sind Informationssicherheit und Cybersecurity von entscheidender Bedeutung. Doch weshalb sollten wir uns in jedem Lebensabschnitt damit auseinandersetzen? Wie kann man sich vor den vielen Gefahren, denen man tagtäglich im Internet oder auf anderen Kanälen wie Social Engineering, Betrugsfallen etc. ausgesetzt ist, schützen? In diesem Beitrag wollen wir die Gründe für die Wichtigkeit von Awareness in Bezug auf Informationssicherheit und Cybersecurity beleuchten, sowie ein paar Tipps, wie man sich effektiv schützen kann, mit auf dem Weg geben.

Bedrohungsmodellierung bezeichnet eine Praxis in der Informationssicherheit, bei der es darum geht, Bedrohungen und mögliche Angriffsvektoren schon während der Design Phase zu erkennen und zu bewerten. Dadurch wird die Möglichkeit geschaffen, die identifizierten Bedrohungen frühzeitig und angemessen zu adressieren. Dies ist vor allem auch für das Risikomanagement relevant, da auf der Basis der Risikobewertung aus dem Bedrohungsmodell Entscheidungen bezüglich Risikoakzeptanz, oder Mitigation fundiert getroffen werden können.

Zusätzlich schreibt der European Cyber Resilience Act, sowie die IEC 62443 Standardserie vor, dass für Produkte, Software wie Hardware, ein Cybersecurity Risk Assessment beziehungsweise eine Bedrohungsmodellierung durchzuführen ist. Im Zuge der Bedrohungsmodellierung werden die Komponenten eines Produktes, die Datenflüsse zwischen diesen Komponenten, sowie externe Einflüsse hinsichtlich potenzieller Risiken bewertet. Durch die frühe Ausführung dieses Projektschrittes im Produktentwicklungslebenszyklus, wird es ermöglicht, Designentscheidungen anhand der entstandenen Ergebnisse zu treffen, und die identifizierten Bedrohungen, soweit möglich, schon mit Hilfe eines sicheren Designs zu mitigieren.

Interview über die Vorbereitung, sowie die rechtlichen Aspekte von Cyber-Vorfällen weiterlesen...

Der Begriff OSINT steht für „Open Source Intelligence“ und bezeichnet das systematische Sammeln und Analysieren von frei verfügbaren Informationen. Zu diesen frei zugänglichen Informations-Quellen zählen beispielsweise Datenbanken, Social Media, (Dark-Net/Deep Web) Websites, Online-Blogs aber natürlich auch Offline-Inhalte wie beispielsweise Zeitschriften, Bücher oder Unternehmensflyer.

Der Einsatz von öffentlich verfügbaren Quellen zur Informationsgewinnung hat eine sehr lange Geschichte und wurde bereits vor über 100 Jahren von Geheimdiensten, Sicherheitsorganisationen und findigen Unternehmern genutzt, um einen Informations-Vorteil zu erlangen.

In Zeiten von Naturkatastrophen, Cyberangriffen und anderen Krisen ist es für Unternehmen unerlässlich, sich auf diese Bedrohungen bestmöglich vorzubereiten.

Business Continuity Management (BCM) und Resilienz sind zwei wesentliche Aspekte, um Unternehmen und Organisationen vor unvorhersehbaren Ereignissen, dies kann alles von Naturkatastrophen bis hin zu Cyberangriffen, umfassen, zu schützen und im Ernstfall das Unternehmen schnell wieder handlungsfähig zu machen. Es geht dabei nicht nur darum, eine Krise zu überstehen, sondern vor allem auch gestärkt daraus hervorzugehen.

In cooperation with the University of Innsbruck CERTAINITY is conducting an online survey to investigate how well-prepared companies are for the introduction of the European Cyber Resilience Act.

Our target audience are organizations and stakeholders being responsible for product development and ongoing maintenance. If your organization develops, sells or imports networked hardware or software products within the EU, you are a perfect candidate to participate in our study.

We highly appreciate it, if you take 10 to 15 minutes to share your expertise and participate in our survey. We will ask questions concerning your organization, the current state of your secure development and product vulnerability management processes as well as your current documentation practices.

The importance of exercises in IT security

While the saying “No plan survives first contact with the enemy” is certainly true, this fact rarely leads to resignation and surrender. Rather, attempts are made to keep the delta between plan and reality as small as possible, even after fine contact, through constant practice and training. Transferred to the preparation for IT security incidents (incident readiness), this means regularly and thoroughly practicing emergency plans, backup-restore processes, and the like. One way to do this is by conducting IT security exercises.

Cyberangriffe gehören zu der weltweit am schnellsten wachsenden Form an Kriminalität. Ein guter Indikator für den aktuellen Zustand ist die Tatsache, dass laut Medienberichten die Versicherbarkeit von Unternehmen gegen Cyberangriffen deutlich schwerer geworden ist. Die Versicherer schrauben den erforderlichen Reifegrad an Sicherheit hoch. Und genau das wird die Ablöse der derzeit gängigen Self-Assessments durch qualifizierte Audits mit der Hinterlegung zwingend erforderlicher Evidenzen mit sich bringen.

Geschäftsführung ist in der Pflicht

Durch die Richtlinie (EU) 2022/2555 erfolgt eine wesentliche Erweiterung der betroffenen Unternehmen und deren Pflichten. Ab 2024 kann davon ausgegangen werden, dass in Österreich ca. 3.000 Unternehmen, unterteilt in 16 Sektoren, ab 50 Mitarbeitern und 10 Mio. EUR Umsatz, nachweislich Cybersecurity Maßnahmen umsetzen müssen. Die nationale Gesetzgebung wird die Überprüfung der Einhaltung der Mindeststandards übernehmen und in weiterer Folge Geschäftsführer von Betreibern kritischer Infrastrukturen in die Pflicht nehmen.