Anzeige
Anzeige
Beitrag drucken

Software von Drittanbietern

Risikomanagement für die Software-Lieferkette

Produzenten setzen immer mehr Anwendungen unterschiedlicher Anbieter ein. Die Wahl eines jeden Softwarelieferanten ist jedoch mit einem gewissen Risiko für die eigene IT-Sicherheit verbunden. Ein Risikomanagement für die Software-Lieferkette ist die strategische Antwort auf die steigende Zahl an Spezialanwendungen in fast allen Unternehmen.

 (Bild: UL International Germany GmbH)

(Bild: UL International Germany GmbH)

Der Einsatz von Software in Industrieunternehmen ist üblich: Der Markt bietet Standardsoftware für die Produktionssteuerung, Office-Anwendungen, Device-Management-Software, Webserver und Browser. Der Aufwand, diese selbst zu entwickeln, wäre in den meisten Fällen unverhältnismäßig hoch. Auch bei Spezial-Anwendungen in Bereichen Industrial IoT und Industrie 4.0 kommen zumeist vorgefertigte Fremd-Module zum Einsatz oder es werden Codebibliotheken genutzt. Doch jede Software hat potenziell Schwachstellen – diese können sich auf die Sicherheit der Infrastruktur insgesamt auswirken. Besonders Unternehmen in den Branchen der kritischen Infrastrukturen werden so noch anfälliger für Cyberangriffe.

Die Software-Lieferkette und ihre Schwachstellen

Obwohl Drittanbieter-Software die eigene Entwicklung beschleunigt, birgt deren Einsatz auch Risiken. Zunächst werden solche Anwendungen eher generös etwa als Branchenlösung entwickelt und können spezielle Security-Anforderungen des Einzelfalls nur teilweise berücksichtigen. Entscheidet sich ein Unternehmen für den Einsatz einer Standardlösung, begibt es sich zudem in eine gewisse Abhängigkeit vom Hersteller. Werden Schwachstellen bekannt, so sind Unternehmen darauf angewiesen, dass sie der Hersteller schnell beseitigt.

Fast nie alles aus einer Hand

Gleichzeitig nutzen Softwarefirmen selbst Module von Fremdherstellern, so dass Anwendungen keineswegs mehr aus einem Guss sind. Bricht ein Anbieter weg, kann möglicherweise der Support für die gesamte Lösung nicht mehr sichergestellt werden. Darüber hinaus sind nie alle Schwachstellen einer Software bekannt, immer wieder finden sich neue Lücken und Inkompatibilitäten. Dass immer mehr Unternehmen kritische IT-Systeme in die Cloud verlagern und über Programmierschnittstellen darauf zugreifen, macht die Security-Situation noch komplexer. In der Praxis zeigt sich immer wieder, dass die Qualitätssicherung bei den verschiedenen Anbietern einen ganz unterschiedlichen Stellenwert genießt. Standardisierte Metriken für die Messung der Qualität gibt es nicht, die Unternehmen müssen sich auf die Anbieter verlassen oder eine eigene unabhängige Bewertung durchführen. Dafür brauchen Unternehmen jedoch robuste und flexible Prozesse für das Lieferanten- und Risikomanagement.

Robuste Prozesse und Tests nach festen Kriterien im Testlabor von UL schaffen Entscheidungsgrundlagen für die Wahl eines Softwareausrüsters. (Bild: UL International Germany GmbH)

Robuste Prozesse und Tests nach festen Kriterien im Testlabor von UL schaffen Entscheidungsgrundlagen für die Wahl eines Softwareausrüsters. (Bild: UL International Germany GmbH)

Gekonntes Risikomanagement

Für die Beurteilung und Kontrolle der Programme von Drittanbietern benötigen Unternehmen eine interne Vorgabe, an welchen Kriterien sich die Anschaffung ausrichten soll. Eine Hilfe bei der Messung und Bewertung der Sicherheitsmerkmale von Produkten und Technologien ist beispielsweise die Normenreihe UL 2900 des auf Produktsicherheit und Zertifizierung spezialisierten Unternehmens UL. Die Norm bietet einen Rahmen für die Beurteilung des Gesamtkonzepts eines Unternehmens für die Softwaresicherheit sowie der spezifischen Schwachstellen einzelner Software-Produkte und -Komponenten von Drittanbietern und listet folgende Kriterien auf:

  • • Formale Sicherheitsvorgaben für die gesamte Anwendungslandschaft: Solche Vorgaben sind stark vom individuellen Geschäft und dem daraus resultierenden Sicherheitsanspruch eines Unternehmens geprägt. Betreiber kritischer Infrastrukturen werden hier höhere Maßstäbe anzusetzen haben als andere Unternehmen. Die Sicherheitsvorgaben gelten dann für alle Softwareprodukte und -Komponenten von Drittanbietern und gehören in jede Ausschreibung oder Lieferantenvereinbarung.
  • • Beschaffungsrichtlinien sowie Due-Diligence-Prüfungen und Richtlinien für die Lieferanten: Je nach erforderlichem Sicherheitsniveau sollten Unternehmen, Kriterien festlegen, die ein Lieferant oder ein Produkt erfüllen muss. So kann es beispielsweise Voraussetzung sein, dass die Software vor der Anschaffung von einem unabhängigen Berater validiert wurde. Oder aber, dass Lieferanten eine Due-Diligence-Prüfung bestehen müssen, bevor sie in das Lieferantenverzeichnis aufgenommen werden. Richtlinien mit eindeutig festgelegten Konsequenzen bei Nichteinhaltung der Vorgaben oder der Verwendung gefälschter Software sind ebenfalls hilfreich.
  • • Automatisierte Software-Validierungstest und regelmäßige Aktualisierungen: Regelmäßige Validierungstests stellen sicher, dass die Sicherheitsregeln des Unternehmens dauerhaft eingehalten werden. Mit automatisierten Tests wird die zyklische Durchführung sichergestellt und das Fehlerrisiko gesenkt. Regelmäßige Aktualisierungen der Anwendungen sind essentiell, um sicherheitstechnisch auf dem neuesten Stand zu bleiben – formale Prozesse sind hier hilfreich.
  • • Implementierung von Track&Trace-Programmen: Nicht nur bei großen Infrastrukturen verliert man schnell den Überblick über die Software-Versionen und den Update-Stand. Unternehmen sollten deshalb die Quellen (Herausgeber) aller Anwendungen, Komponenten und Codebibliotheken erfassen und überwachen – für einen effizienten Zugriff auf Updates und Patches sowie den Support älterer Produkte.
  • • Awareness für Security durch Mitarbeiterschulungen: Regelmäßige Mitarbeiterschulungen schaffen das Bewusstsein für Sicherheitspraktiken im Rahmen der Software-Lieferkette, die Auswahl von Drittanbieter-Produkten sowie die Überwachung von Softwaresystemen auf potentielle Schwachstellen.

Regeln definiern und einhalten

Um den Sicherheitsrisiken durch Drittanbieter-Software zu begegnen, benötigen Unternehmen eine robuste Strategie für das Risikomanagement der Software-Lieferkette. Diese sieht für jedes Unternehmen individuell verschieden aus, kann aber auf einigen in der Praxis bewährten Grundprinzipien beruhen. Mit einer solchen Strategie lassen sich die Cyberrisiken deutlich senken. n ist VP Central, East and South Europe Region bei UL.


Das könnte Sie auch interessieren:

Die Maschinenanbindung an ein Manufacturing Execution System (MES) sollte in Zeiten der Digitalisierung einfach fallen. Meist brauchen Fertiger heute aber mehr als einen IoT-Datensammler. Denn nur mit den richtigen Protokollen weiß das MES, was erfasste Daten bedeuten und kann diese in den Dienst höherer Transparenz und Effizienz stellen.‣ weiterlesen

Im Oktober vergangenen Jahres wurde das Projekt GAIA-X vorgestellt. Nun haben die Wirtschaftsminister beider Länder die nächsten Schritte präsentiert.‣ weiterlesen

Nach seinem Tiefststand im Vormonat, ist das IAB-Arbeitsmarktbarometer im Mai wieder leicht gestiegen.‣ weiterlesen

Die Feinplanungsspezialistin Dualis GmbH IT Solution will mit einer neuen Vertriebspartnerschaft ihre Position im SAP-Umfeld stärken. Cpro IoT Connect vertreibt und implementiert künftig die APS-Lösung Ganttplan als Platinum-Partner.‣ weiterlesen

Reisekostenmanagement mit SAP-Software ist weiterhin On-Premise möglich. Nach dem Druck der SAP-Anwendervereinigung DSAG hat SAP angekündigt, die Lösung Travel Management auf die Hana-Plattform zu migrieren. Damit können Firmen den Wechsel zum SaaS-System Concur noch einige Jahre hinauszögern. Funktionale Erweiterungen für Travel Management soll jedoch nicht geben.‣ weiterlesen

Der Werkzeughersteller Mapal überführt digitale und analoge Innovationen oft sehr früh in marktreife Produkte. Das neue Glockenwerkzeug ließe sich zum Beispiel ohne additive Fertigung gar nicht herstellen. Wie Entwicklungsarbeit mit stehts aktuellster Technik funktioniert, hat uns Dr. Dirk Sellmer erzählt, Vice President Research & Development bei Mapal. Wobei er sich für unsere Fragen zur IT-Ausgründung C-Com Giari Fiorucci dazugeholt hat.‣ weiterlesen

Die Deutsche Messe AG hat ihre Planziele im Jahr 2019 übertroffen. Aktuell wirkt sich jedoch die Corona-Krise auf das Messegeschehen aus. Diesbezüglich erarbeitet die Deustch Messe derzeit ein Sicherheits- und Hygienekonzept für zukünftige Veranstaltungen.‣ weiterlesen

Andreas Riepen übernimmt die Position des Regional Vice President Sales für die DACH-Region beim IT-Unternehmen Riverbed.‣ weiterlesen

Manufacturing Execution Systems (MES) sollen meist Shop und Top Floor miteinander verbinden und sie beeinflussen Fertigungsprozesse direkt. Implementierungen sind daher oft riskant, unternehmenskritisch und kostspielig. Cloud-Lösungen für die Werkhalle können viele dieser Effekte abfedern.‣ weiterlesen

Wie der IT-Security-Anbieter Kaspersky berichtet, wurden Unternehmen weltweit über zielgerichtete Phishing-Mails angegriffen, bei denen die Angreifer das Mimikatz-Programm nutzten. Kaspersky hat diese Angriffe analysiert.‣ weiterlesen

Heute suchen meist aufwendige Kamerasysteme nach Teilen im Werkstückträger, die der Roboter greifen kann. Mit der Smart-Task-Funktionalität Load Mapping des Sensorherstellers Sick lässt sich die Belegung von Werkstückträgern während der Zuführung in die Montagezelle erfassen und als digitales Sensorsignal an die Robotersteuerung ausgeben.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige