Das Gewährleisten von Cybersicherheit ist ein fortlaufender Prozess. Unternehmen, die Sicherheit in den gesamten Produktlebenszyklus integrieren, sind besser in der Lage, Risiken zu minimieren, Compliance-Anforderungen einzuhalten und ihren Kunden widerstandsfähige Produkte zu liefern.

duagon bietet ein umfassendes Leistungsspektrum über den gesamten Produktlebenszyklus hinweg. Die Bewertung eines Projekts mit Cybersicherheitsanforderungen folgt ähnlichen Prozessschritten wie ein Standard-Anpassungsprojekt für duagon-Produkte. Der Prozess für ein individuelles Projekt lässt sich beschleunigen, wenn spezifische Sicherheitskonzepte für den Zughersteller bereits im Vorfeld definiert wurden.

• Zu Beginn Ihres Projekts unterstützt duagon Sie dabei, ein für Ihren spezifischen Anwendungsfall geeignetes Sicherheitsniveau zu definieren, und bietet allgemeine Beratung zu Cybersicherheit sowie eine erste Bedrohungs- und Risikoanalyse an.
• Der Entwicklungsprozess folgt der Norm IEC 62443-4-1 und nutzt die sicheren Produktentwicklungsplattformen von duagon. Diese Plattformen umfassen sicheres Programmieren, Produkthärtung, Penetrationstests, Benutzerzugriffsmanagement, Einrichtung und Wartung einer Public-Key-Infrastruktur (PKI), Sicherheitsdokumentation sowie die Einrichtung einer Schwachstellenüberwachung.
• Die Fertigung erfolgt in den hauseigenen Werken von duagon.
• Die Lieferung Ihrer Produkte wird durch Manipulationserkennung mittels Software-Integritätsprüfungen gesichert. Außerdem erhalten Sie ein Sicherheitshandbuch.
• Sobald Ihr Produkt in Betrieb genommen wird, überwacht die Schwachstellenüberwachung von duagon den Sicherheitsstatus aller Komponenten von Drittanbietern sowie erkannte Probleme in eigenen Komponenten. Je nach implementiertem Funktionspaket tragen verschiedene Dienste zur Aufrechterhaltung eines sicheren Betriebs bei, darunter die Protokollierung von Sicherheitsaudits, die zentralisierte Benutzerverwaltung sowie sichere Firmware-Updates und Firewall-Funktionen. Zusätzlich bietet duagon Software-Sicherheitsupdates an, um bekannte Sicherheitslücken zu schließen.

Am Ende des Lebenszyklus Ihres Produkts sorgt duagon für die sichere und nachweisbare Löschung sensibler Daten und die umweltgerechte Entsorgung der Hardware.

Die Norm IEC 62443 definiert Sicherheitsstufen (Security Levels; SL) auf einer Fünf-Punkte-Skala (0, 1, 2, 3 und 4), wobei jede Stufe eine schrittweise Erhöhung der Cybersicherheitsmaßnahmen darstellt.

• SL1 kann durch die Elemente des duagon Cybersecurity Basic-Pakets abgedeckt werden
• SL2 kann durch die Elemente des duagon Cybersecurity Extended-Pakets abgedeckt werden
• SL3 kann durch die Elemente des duagon Cybersecurity Advanced Pakets mit Anpassungen abgedeckt werden
• SL4 kann duagon im Rahmen eines kundenspezifischen Projekts anbieten

Cybersicherheitsdienste für eingebettete und vernetzte Produkte helfen Herstellern dabei, Cyberrisiken über den gesamten Produktlebenszyklus hinweg zu identifizieren, zu minimieren und zu bewältigen. Dazu können Risikobewertungen, Bedrohungsmodellierung, sichere Softwareentwicklung, Sicherheitstests, Schwachstellenmanagement, die Erstellung von SBOMs, die Einrichtung von PSIRTs sowie Unterstützung bei Vorfällen gehören.

Diese Dienste sind besonders relevant für industrielle Systeme, Bahnanwendungen, medizinische Geräte, Edge-Computer, Gateways und andere Produkte mit digitalen Elementen.

Produkt-Cybersicherheit ist der Schutz eines vernetzten Produkts, seiner Software, Schnittstellen, Daten und Kommunikationswege vor Cyberbedrohungen. Sie umfasst den gesamten Lebenszyklus von der Entwicklung und Produktion über Betrieb, Wartung und Updates bis zum Ende des Supports.

Bei eingebetteten und industriellen Produkten kann die Produkt-Cybersicherheit unter anderem Secure Boot, Authentifizierung, Verschlüsselung, Hardening, sicheren Fernzugriff, Schwachstellenmanagement und Sicherheitsüberwachung umfassen.

Industrie- und Embedded-Produkte sind zunehmend mit Netzwerken, Cloud-Diensten, Wartungstools und anderen Geräten verbunden. Diese Vernetzung schafft Angriffsflächen, die sich auf Verfügbarkeit, Integrität, Vertraulichkeit, Sicherheit, den Betrieb und die Geschäftskontinuität auswirken können.

Cybersicherheit hilft Herstellern und Betreibern dabei, Geräte, Netzwerke, Software und Daten vor unbefugtem Zugriff, Manipulation, Malware und Betriebsstörungen zu schützen.

Eine Cybersicherheitsrisikobewertung identifiziert relevante Ressourcen, Bedrohungen, Schwachstellen, Angriffswege sowie potenzielle geschäftliche oder betriebliche Auswirkungen. Sie hilft zu ermitteln, welche Sicherheitsmaßnahmen für ein Produkt, ein System oder eine Anwendung geeignet sind.

Bei vernetzten Produkten sollte die Bewertung das Gerät, die eingebettete Software, Schnittstellen, die Lieferkette, Benutzerrollen, die Kommunikation, Aktualisierungsmechanismen und die erwartete Betriebsumgebung berücksichtigen.

Die Bedrohungsmodellierung ist eine strukturierte Methode, um zu ermitteln, wie ein Produkt oder System angegriffen werden könnte und welche Kontrollmaßnahmen erforderlich sind, um das Risiko zu verringern. Sie wird in der Regel in der Design- und Entwicklungsphase durchgeführt.

Ein Bedrohungsmodell dokumentiert Ressourcen, Vertrauensgrenzen, Schnittstellen, potenzielle Angreifer, Angriffsszenarien und Sicherheitsanforderungen. Es unterstützt die Security-by-Design-Entwicklung und liefert Nachweise für Maßnahmen zur Produktsicherheit und zum Einhalten von Vorschriften.

Schwachstellenmanagement ist der fortlaufende Prozess der Identifizierung, Bewertung, Priorisierung, Behebung und Kommunikation von Sicherheitslücken in Produkten und Software.

Bei vernetzten Produkten umfasst dies das Überwachen von Schwachstellenquellen, das Bewerten der betroffenen Produktversionen, die Koordination von Korrekturen, das Bereitstellen erforderlicher Sicherheitsupdates, das Veröffentlichen von Sicherheitshinweisen sowie die Pflege der Dokumentation über den gesamten unterstützten Produktlebenszyklus hinweg.

Die IEC 62443 ist eine Reihe internationaler Normen für die Cybersicherheit in industriellen Automatisierungs- und Steuerungssystemen. Sie bietet Leitlinien für Betreiber, Integratoren, Dienstleister und Produkthersteller.

Die Normen befassen sich mit Bereichen wie sicheren Praktiken im Entwicklungszyklus, Sicherheitsstufen, Risikobewertung, Systemarchitektur, Komponentensicherheit und Betriebssicherheit. Welche Teile anwendbar sind, hängt von der Rolle der Organisation und dem jeweiligen Produkt oder System ab.

Die Cybersicherheit im Eisenbahnwesen erfordert einen risikobasierten Ansatz, der Fahrzeuge, Signaltechnik, Gleisinfrastruktur, Kommunikationsnetze, Wartungsschnittstellen und Fahrgastsysteme schützt.

Zu den typischen Maßnahmen zählen die Überprüfung der Sicherheitsarchitektur, Netzwerksegmentierung, sicherer Fernzugriff, Absicherung, Einbruchserkennung, Schwachstellenmanagement, Überwachung, Planung der Reaktion auf Vorfälle sowie die Anpassung an relevante Anforderungen an die Cybersicherheit im Eisenbahnwesen wie beispielsweise TS 50701, sofern zutreffend.