CSMS, Anforderungen gemäß UNECE WP.29, Euro NCAP oder ISO 27001 – Die gesamte Automobilbranche durchläuft einen disruptiven Wandel: Gemessen an der Fülle neuer Standards und im Zuge der Digitalisierung halten immer mehr Software-Dienste, elektronische Steuersysteme und Cloud-APIs Einzug in die Fahrzeuge und somit auch in deren Produktion und Entwicklung. Eng vernetzte, oft noch intransparente Lieferketten, über die die Anwendungen bereitgestellt werden, bieten dabei unzählige Angriffspunkte für Cyberattacken.

Um den maßlos wachsenden Angriffsvektoren gerecht zu werden, hat der Verband der deutschen Automoblindustrie (VDA), gemeinsam mit der französischen European Network Exchange Association (ENX) im Jahr 2017 das mittlerweile international anerkannte Prüf- und Austauschverfahren TISAX – Trusted Information Security Assessment Exchange – entwickelt. Ein Zertifikat, mit dem Zulieferer ihren OEMs gegenüber die Einhaltung angemessener Security-Standards dokumentieren können. Ein zentrales Element ist dabei ein starkes Indentity and Access (IAM) als auch Privileged Access Management (PAM), das kritische Accounts schützt und die Weichen für eine cyber-resiliente Lieferkette stellt.

Autonom fahrende Fahrzeuge, Transportsysteme und hybride Fahrtechnolgien werden in Zukunft weltweit Stadtbilder prägen: Durch die intelligente Konsolidierung unterschiedlichster elektronischer Systeme werden Autos in der Lage sein, miteinander zu kommunizieren, eigenständige Entscheidungen zu treffen und souverän auf unbekannte Gefahrensituationen zu reagieren. Das Innovationspotenzial dieser Technologie ist praktisch grenzenlos – ebenso wie der mögliche Schaden im Falle einer Kompromittierung der entsprechenden IT-Systeme.

Aktueller Prüfstandard: VDA Information Security Assessment V. 5.1

Das von der ENX Association vergebene Zertifikat definiert Mindeststandards für die sichere Informationsverarbeitung, den Prototypenschutz und den Datenschutz in Automobilunternehmen – und ermöglicht es der Branche als Prüf- und Austauschverfahren, den Reifegrad der Informationssicherheit bei potenziellen Partnern, Dienstleistern und Lieferanten zu prüfen. Hierbei liegt für eine Vergleichbarkeit ein einheitlicher Prüfstandard mit festgelegtem Prüfverfahren zu Grunde.

Mit dem Major-Update des VDA ISA auf die Version 5.x im Oktober 2020, hat sich die Gesamtstruktur des Prüfstandards verändert und modernisiert. Abgeleitet aus dem Informationssicherheitsstandard ISO 27001, liegt der Fokus stark auf dem Funktionieren des Management der Cyber Security und dem Schutz von Zugriffen auf die schützenswerten Daten innerhalb der Lieferkette.

Das Update des gesamten VDA ISA brachte folgende Neuerungen mit sich:

Mit dem Update auf die Version 5.0 wurde der Inhalt des Moduls „Anbindung Dritter“ samt Prüfzielen nun in das Modul „Informationssicherheit“ integriert. Damit existieren aktuell nur noch drei Module:

Informationssicherheit

Datenschutz

Prototypenschutz

Die Bezeichnung „Anbindung Dritter“ beschreibt die Situation, in der ein TISAX®-Anwender einen eigenen Standort auf dem Gelände eines Partners hat und (über direkte Netzwerkverbindungen) auf dessen Systeme zugreifen kann. Laut dem VDA „wurden nicht nur alle Anforderungen des Moduls „Informationssicher­heit“ bezüglich des aktuellen Stands der Technik und auf Angemessenheit hin geprüft, sondern auch Redundanzen entfernt.“

Unbefugte Zugriffe auf privilegierte Accounts unterbinden

Ein zentraler Aspekt ist dabei das sichere Handling von Identitäten und Zugriffen: In den eng verzahnten Lieferketten der Automobilindustrie ist die Einbindung externer Partner und Dienstleister in eigene Systeme und Infrastrukturen oder Prozesse gelebte Praxis – stellt aber gleichzeitig einen der größten Risikofaktoren dar. Fehlendes Sicherheitsbewusstsein, das Koppeln verschiedener, eigentlich getrennter, Sicherheitszonen oder das Fehlen der geeigneten Technologie sind nur einige kritische Faktoren. Denn egal zu welchem Zweck, ein logisch angebundener Dritter benötigt für seine Zugriffe von Außen, häufig Benutzerrollen mit privilegierten Zugriffsrechten und bleibt dabei meist sogar eine anonyme Identität.

Bedenkt man drüber hinaus, dass neben den Accounts externer Benutzer auch die Zahl privilegierter Mitarbeiter-, Maschinen- und Kunden-Konten rasant steigt, wird schnell klar, wie wichtig ein konsistentes Identity Management für die Automobilbranche ist – und welche Bedeutung eine passgenaue Strategie mit einer kontrollierbaren PAM-Lösung für die zentrale Zugriffsverwaltung dieser Accounts hat.

Privilegierte Rechte Just in Time bereitstellen und Prinzipen verfolgen

Zero Trust Network Access

Zero Trust ist state of the art. Die gesamte Cyber-Community redet davon. Viele Unternehmen machen Zero Trust zum Grundprinzip holistischer Informationssicherheitsstrategien. Doch die Strategie, die hinter der Umsetzung eines echten Zero-Trust-Modells steht, ist nicht das Buzz-Word Zero Trust an sich. Zero Trust muss ergänzt werden um den eigentlich wichtigen Part, den Zugang zum Netzwerk. Gepaart ergibt es den neuen Grundsatz: Zero Trust Network Access, kurz ZTNA.

Zero Trust Network Access (ZTNA), auch bekannt als Software Defined Perimeter (SDP), bezeichnet eine Reihe von Technologien und Funktionen, durch die Remote-User sicher auf interne Anwendungen zugreifen können. ZTNA basiert auf einem adaptiven Vertrauensmodell. Doch es wird nur dem vertraut, der implizit auch bekannt ist. Zugriff wird nur nach dem absoluten Erforderlichkeitsprinzip und Just-in Time mit minimaler Rechtevergabe gewährt. ZTNA ist keine alleinstehende Lösung die es zu implementieren gilt. ZTNA ist ein organisatorischer, technischer und Kultureller Grundsatz innerhalb der Cyber Security einer gesamten Organisation. Remote-User profitieren von nahtloser und sicherer Konnektivität zu privaten Anwendungen, ohne jemals Sicherheitszonen miteinander zu koppeln..

Least Privileges

Das Prinzip der Least Privileges (PoLP – Principle of Least Privilege) ist ein etabliertes Konzept, das darauf basiert, dass ein interner oder externe Benutzer nur genau so viele Berechtigungen auf bestimmte Daten und Informationen erhält, die er für die Ausführung seiner dedizierten Aufgaben im Unternehmen oder im Auftrag für dieses benötigt – auf keinen Fall mehr. 

Das Least-Privilege-Prinzip geht aber auch über den Zugriff durch menschliche Benutzer hinaus. Das Modell lässt sich auch auf Anwendungen, Systeme oder vernetzte Geräte übertragen, die bestimmte Privilegien oder Berechtigungen benötigen um Tasks auszuführen.

Das Least-Privilege-Prinzip stellt sicher, dass ein nicht menschliches Tool den erforderlichen Zugriff erhält – aber eben nicht mehr als das.

Das Least-Privilege-Prinzip gilt als Best Practice in der Cyber-Sicherheitsbranche und ist ein wesentlicher Schritt zum Schutz privilegierter Zugriffe auf hochwertige Daten und Ressourcen. Hierbei ist wichtig, dass das Zusammenspiel zwischen organisatorischer Informationssicherheit und operativer IT-Sicherheit nahtlos funktioniert und im Idealfall ineinandergreift.

Maßnahmen einer TISAX-konformen modernen PAM-Strategie

Wie Unternehmen den Schutz ihrer privilegierten Accounts angehen, hat sich in den vergangenen Jahren allerdings nachhaltig verändert: An Stelle punktueller, manuell gemanagter Projekte treten heute immer öfter automatisierte, so genannte Next-Generation-Lösungen. Ganzheitlich und agil einsetzbar Im Idealfall erweitern PAM-Initiativen das robuste Fundament des Least-Privilege-Prinzip sukzessive um weitere Komponenten und begründen sich auf einer Zero Trust Strategie. Die Standardfunktionen einer PAM-Lösung sollten mindestens die Funktionen Session Recording, Application-Sharing, Sicherer DatenTransfer, Multi Faktor Authentifizierung und Live Status beinhalten.

Eine moderne PAM-Lösung sollte aber zwischen einem externen privilegierten Nutzer und internen Mitarbeitern unterscheiden können – ohne das hierfür zwei verschiede Systeme notwendig sind.

TISAX erwartet lückenlose Dokumentation von Zugriffen auf Kundendaten und Nachvollziehbarkeit aller Tätigkeiten in sensiblen Bereichen

Organisatorische Maßnahmen allein reichen nicht aus. Das Auswählen und die Integration der richtigen PAM-Lösung kann mühsam sein.

Das Angebot an internationalen PAM-Lösungen auf dem Markt ist vergleichsweise breit und die Auswahl des richtigen Herstellers hängt von einer Reihe von Faktoren ab:

  • Von entscheidender Bedeutung ist zu allererst die Architektur des bestehenden Netzwerkes – ob Cloud-native, hybrid oder On-Premises, ob Brownfield oder Greenfield. Nicht jede PAM-Lösung eignet sich gleichermaßen für den benötigten Einsatzzweck.
  • Danach muss die Frage gestellt werden ob die zukünftige PAM-Lösung die gesamte Verwaltung der Benutzer und das Management von Passwörtern übernehmen soll oder man die PAM-Lösung an bestehende Anwendung anbindet und als Erweiterung integriert
  • Ebenso wichtig ist der Ausblick: Wie hoch ist der Integrationsaufwand, gemessen am erzielbaren Output. Nicht zu vernachlässigen ist, dass eine ganzheitliche PAM-Lösung einen beachtlichen Teil an Ressourcen bindet und interne Prozesse im Bereich Identity and Access Management grundlegend ändert. Eine PAM-Lösung muss für den Anwendungsfall passen.
  • Nicht zu vernachlässigen ist im Thema Informationssicherheit der Punkt, dass der Anbieter einer PAM-Lösung selbst kein zukünftiges Risiko für die Integrität der eigenen schützenswerten Informationen darstellt. Aktuelle Beispiele belegen, dass vor allem All-in-One Lösungen zwangsläufig neue Angriffsflächen bieten umso mehr Funktionen die originäre PAM-Lösung bieten möchte.
  • Ausgehend von dieser ersten grundsätzlichen Weichenstellung gilt es dann, aus der Vielzahl verfügbarer Lösungen diejenige auszuwählen, die sich am besten in die vorhandene IT-Infrastruktur integrieren lässt und die vorab definierten Anforderungen der einzelnen Stakeholder erfüllt.

Generell zeigen Erfahrungen aus der Industrie, dass IT-Abteilungen die erste Berührungen mit der Auswahl einer PAM-Lösung haben, oft überfordert sind und dementsprechend den Aussagen im Markt folgen. Dies führt im zweiten Schritt dazu, dass PAM mehr Beratungsprojekt wird als gewünscht und Consultants und Systemintegratoren das fast grenzenlose Feld des Identity and Access Management mit breiten Angeboten und vermeintlichen immer neuen Strategien füttern.

Das Ziel sollte sein eine PAM-Lösung zu finden die ohne große Eingriffe in den laufenden Betrieb zu integrieren ist und keine Modifikation an Clients und Endpunkten erfordert. Solle dieses notwendig sein, ist darauf zu achten, dass diese potentielle neue Einfallstore bieten und im Risikomanagement Beachtung finden müssen.

TISAX fordert eine strikte Trennung von Mandanteninformationen auch im logischen Bereich. Aufgebaute Sicherheitszonen dürfen auch beim Zugriff auf Informationen nicht gekoppelt werden

VDA ISA

VISULOX – Eine PAM-Lösung mit integriertem Remote Support

VISULOX ist die führende deutsche PAM-Lösung mit integrierter Remote-Support-Plattform für sicheren Zugriff von überall. Wir helfen bei der Beantwortung der Frage, wer was, wo und wann in IT-Infrastrukturen getan hat.

amitego ist der führende Anbieter von Privileged Access Management Lösungen und Remote Support Plattformen in Deutschland, seit 2003.

Zugeschnitten auf die Zugriffs- und Dokumentationsanforderungen die TISAX fordert, ist VISULOX als PAM-Lösung heute bei einer Vielzahl von klein- bis mittelständischen Automobilzulieferern, als auch bei multinationalen OEM im Einsatz. Unser Team besteht aus Top-Entwicklern, die bewusst engen Kontakt halten zu Kollegen mit langjähriger TISAX-Consulting Erfahrungen. Wir zählen darüber hinaus erprobte TISAX Lead Auditoren zu unserem Team.

Unsere Erfahrung zeigt, dass wir gut zuhören können. Ein kurzes persönliches Gespräch kann sehr oft lange Wege ersparen. Wir würden uns freuen Sie in einem kurzen Termin, auf Wunsch mit einer möglichen Live Demo, unverbindlich kennenzulernen.

Gerne bieten wir Ihnen auch an, Ihnen individuell anhand der aktuellen geltenden VDA ISA Katalogs zu erläutern, welche Kontrollen Sie mit der Einführung von VISULOX adhoc gemäß der Kriterien erfüllen können.

Cookie Consent with Real Cookie Banner