Interview mit D. Rosenau
Welche Standards und Spezifikationen müssen in diesem Umfeld berücksichtigt werden – nicht zuletzt in Bezug auf Security?
D. Rosenau: Das BSI hat Mindeststandards für das Mobile Device Management definiert, die wir uns zum Vorbild nehmen [1]. Berücksichtigt werden dabei die Arbeitsweise, Berechtigungen, die Verteilung von Anwendungen, Audit/Protokollierung von Ereignissen, die sichere Konfiguration, Fernlöschung, die vertrauliche Kommunikation und das Zertifikatsmanagement sowie der Fernzugriff. Ebenfalls findenwirinder Technischen Richtlinie TR-02102-1„Kryptographische Verfahren” wie auch in diversen Standards des NIST Empfehlungen, die zur Wahrung der Sicherheit umgesetzt werden sollten. Die TR-069 vom BSI enthält ein Protokoll zur Konfiguration von Routern von zentraler Stelle aus. Und die TR-369 fokussiert die User-Service-Plattform (USP): Hier geht es um das Datenmodell und Anwendungsfälle zum Management von Clients unterschiedlicher End- punktausprägungen in einem Netzwerk. Die OSGi Alliance spezifiziert eine hardwareunabhängige dynamische Softwareplattform, die es erleichtert, Anwendungen und ihre Dienste zu modularisieren und zu verwalten. Die Basis bildet dabei eine Java Virtual Machine (JVM). Die Softwareplattform kann zur Steuerung oder Vernetzung aller Arten von Geräten eingesetzt werden. Von der Open Mobile Alliance (OMA) stammt die Protokollspezifikation zur Provisionierung, für Software-Updates und Fehlerbehandlung von mobilen Endgeräten. Aus diesen Anforderungen und Standards formen wir die Bestandteile für das Pflichtenheft unseres Device Management Centers für IoT-Gateways.
Da waren jetzt noch keine echten Sicherheitsnormen darunter.
D. Rosenau: Die kommen noch dazu: Eine wichtige Voraussetzung ist die Normenreihe IEC 62443 für die IT- Sicherheit in industriellen Netzen. Weiterhin verfolgen wir den EU Cybersecurity Act, dessen Kriterien wir ebenfalls einhalten wollen, auch wenn hier noch einiges an Gremien- arbeit in den nächsten Jahren zu erwarten ist. Darüber wurde mit der DIN SPEC 27072 „Informationstechnik – IoT-fähige Geräte – Mindestanforderungen zur Informationssicherheit“ eine Spezifikation zur Informationssicherheit von IoT-fähigen Geräten veröffentlicht. Eine wichtige Rolle spielt auch FIPS 140-2/3 als Sicherheitsstandard für kryptografische Module. Zu den Themen, die diese Normen alle behandeln, gehören unter anderem Identitätskontrolle undAuthentisierung, Zugriff und Rechteverwaltung, Systemintegrität und Vertraulichkeit bei Datenspeicherung und Übermittlung, Reaktion auf Sicherheitsverletzung, Prüfung auf neu verfügbare Firmware-Updates und deren Notwendigkeit, Beachtung der Empfehlungen von Regulierungsbehörden beim Einsatz von Schlüsselstärken, Algorithmen, kryptografischen Verfahren und Lebenszeiten und noch einiges mehr.