| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung |
| content:hauptseite [2025/10/20 04:33] – [2.1 Begriff: Risiko] wolf | content:hauptseite [2025/12/10 18:24] (aktuell) – [7 VDI-Richtlinien mit Bezug zu Safety und Security (Auszug)] droste |
|---|
| | ====== Hauptseite ====== |
| ====== 1. Motivation & Zielsetzung ====== | ====== 1. Motivation & Zielsetzung ====== |
| |
| |
| In der gemeinsamen Betrachtung entsteht eine Kopplung über die Ebene der Vulnerabilität in zweierlei Hinsicht: | In der gemeinsamen Betrachtung entsteht eine Kopplung über die Ebene der Vulnerabilität in zweierlei Hinsicht: |
| Security-Maßnahmen können bei widersprüchlichen Anforderungen die Verfügbarkeit von Safety-Funktionen beeinflussen (Designwechselwirkung - //Conflicting Requirements//) und umgekehrt, oder ein erfolgreicher Security-Angriff kann die Safety-Funktion direkt beeinflussen (Angriffswirkung). Letzteres stellt den Pfad des //Security Impact on Safety// dar – der Impact eines Security-Szenarios zeigt sich dann in der Nichtverfügbarkeit einer Safety-Funktion und führt damit zu einer erhöhten Vulnerabilität im Safety-Risiko. Angriffswirkungen auf Safety-Funktionen werden nicht innerhalb des Safety-Layers berücksichtigt, da deren Verfügbarkeitsnachweis probabilistisch ausgelegt ist und zufällige oder systembedingte Ausfälle beschreibt. Stattdessen werden sie im Security-Layer adressiert: Die Security-Analyse (z. B. nach TARA) bewertet potenzielle Angriffe auf Safety-Funktionen und legt geeignete Schutzmaßnahmen bzw. Schutzniveaus (z. B. CAL) fest, um deren Verfügbarkeit und Integrität zu gewährleisten. Damit bleibt der Safety-Nachweis methodisch konsistent, während der Security-Layer den notwendigen Schutz gegen gezielte Beeinflussungen bereitstellt. | Security-Maßnahmen können bei widersprüchlichen Anforderungen die Verfügbarkeit von Safety-Funktionen beeinflussen (Designwechselwirkung - //Conflicting Requirements//) und umgekehrt, oder ein erfolgreicher Security-Angriff kann die Safety-Funktion direkt beeinflussen (Angriffswirkung). Letzteres stellt den Pfad des //Security Impact on Safety// dar – der Impact eines Security-Szenarios zeigt sich dann in der Nichtverfügbarkeit einer Safety-Funktion und führt damit zu einer erhöhten Vulnerabilität im Safety-Risiko. Angriffswirkungen auf Safety-Funktionen werden nicht innerhalb der Safety-Domäne berücksichtigt, da deren Verfügbarkeitsnachweis probabilistisch ausgelegt ist und zufällige oder systembedingte Ausfälle beschreibt. Die Bedrohungswahrscheinlichkeit in der Security ist allerdings epistemisch und kann schwerlich quantifiziert werden. Stattdessen werden Angriffswirkungen in der Security-Domäne adressiert: Die Security-Analyse (z. B. TARA nach ISO/SAE 21434) bewertet potenzielle Angriffe auf Safety-Funktionen und legt geeignete Schutzniveaus (z. B. CAL) fest, um deren Verfügbarkeit und Integrität zu gewährleisten. Damit bleibt der Safety-Nachweis methodisch konsistent, während der Security-Layer den notwendigen Schutz gegen Angriffe bereitstellt. |
| Für //Safety-relevant Services// (z.B. Rettungsdienste, Feuerwehren, medizinische Versorgung), die von der Verfügbarkeit kritischer Infrastrukturen abhängen können, gilt Ähnliches. Security-Maßnahmen an den Infrastrukturen müssen diese Risiken berücksichtigen und einhegen, soweit möglich. Wo Security-Maßnahmen wenig Wirkung zeigen, können z. B. Resilienz-Maßnahmen Risiken reduzieren. | Für //Safety-relevant Services// (z.B. Rettungsdienste, Feuerwehren, medizinische Versorgung), die von der Verfügbarkeit kritischer Infrastrukturen abhängen können, gilt Ähnliches. Security-Maßnahmen an den Infrastrukturen müssen diese Risiken berücksichtigen und einhegen, soweit möglich. Wo Security-Maßnahmen wenig Wirkung zeigen, können z. B. Resilienz-Maßnahmen Risiken reduzieren ([[https://safetyandsecurity.vdi.de/content:hauptseite#resilienz|siehe Abschnitt 5.2]]). |
| | |
| | Besondere Herausforderung bei der Auslegung von Security-Funktionen ergeben sich bei Designwechselwirkungen mit Safety-Funktionen aufgrund widersprüchlicher Anforderungen (//Conflicting Requirements//) - siehe dazu Abschnitt 3. |
| |
| Damit wird der dreigliedrige Risikobegriff zur gemeinsamen Grundlage für die Gestaltung von Maßnahmen in beiden Domänen. Er erlaubt, Angriffswirkungen systematisch abzubilden und in die Bewertung einzubeziehen. Designwechselwirkungen zwischen Safety- und Security-Maßnahmen werden ebenfalls systematisch abgebildet. Eine semi-quantitative oder sogar quantitative Bewertung von Designwechselwirkungen (siehe Abschnitte 3.2, 3.3, 3.4) im Sinne einer Abwägung wird in aller Regel aber nicht möglich sein, da für eine Risikoabwägung regelmäßig das Gesamtrisiko auf Seiten von Safety sowie Security in die Bewertung einfließen muss und die Bewertungsmetriken nicht in allen Beiträgen (Threat, Vulnerability, Impact) direkt vergleichbar oder sogar quantifizierbar sein werden. | Damit wird der dreigliedrige Risikobegriff zur gemeinsamen Grundlage für die Gestaltung von Maßnahmen in beiden Domänen. Er erlaubt, Angriffswirkungen systematisch abzubilden und in die Bewertung einzubeziehen. Designwechselwirkungen zwischen Safety- und Security-Maßnahmen werden ebenfalls systematisch abgebildet. Eine semi-quantitative oder sogar quantitative Bewertung von Designwechselwirkungen (siehe Abschnitte 3.2, 3.3, 3.4) im Sinne einer Abwägung wird in aller Regel aber nicht möglich sein, da für eine Risikoabwägung regelmäßig das Gesamtrisiko auf Seiten von Safety sowie Security in die Bewertung einfließen muss und die Bewertungsmetriken nicht in allen Beiträgen (Threat, Vulnerability, Impact) direkt vergleichbar oder sogar quantifizierbar sein werden. |
| ===== 2.5 Risikobasierte Modelle ===== | ===== 2.5 Risikobasierte Modelle ===== |
| |
| Risikobasierte Modelle sind vielseitige Werkzeuge zur Analyse komplexer Systeme. Sie bilden die logische Struktur ab, in der Risiken entstehen, bewertet und gegeneinander abgewogen werden können. Der Begriff Modell wird hier im erweiterten Sinn verwendet und umfasst sowohl modellhafte Darstellungen – etwa strukturierte Beschreibungen von Ursachen, Zuständen und Auswirkungen – als auch methodische Verfahren, die solche Modelle zur Risikoanalyse und Entscheidungsunterstützung praktisch anwenden. | Risikobasierte Modelle sind vielseitige Werkzeuge zur Analyse komplexer Systeme. Sie bilden die logische Struktur ab, in der Risiken entstehen, bewertet und gegeneinander abgewogen werden können. **Der Begriff Modell wird hier im erweiterten Sinn verwendet und umfasst sowohl modellhafte Darstellungen – etwa strukturierte Beschreibungen von Ursachen, Zuständen und Auswirkungen – als auch methodische Verfahren, die solche Modelle zur Risikoanalyse und Entscheidungsunterstützung praktisch anwenden.** |
| |
| Risikobasierte Modelle ermöglichen es insbesondere, verschiedene Szenarien vergleichbar zu machen und dadurch Entscheidungsprozesse zu erleichtern. Auf diese Weise lassen sich Risiken gegeneinander abwägen und Maßnahmen priorisieren – ein Aspekt, der gerade bei begrenzten Ressourcen und konkurrierenden Schutzstrategien von hoher Bedeutung ist. | Risikobasierte Modelle ermöglichen es insbesondere, verschiedene Szenarien vergleichbar zu machen und dadurch Entscheidungsprozesse zu erleichtern. Auf diese Weise lassen sich Risiken gegeneinander abwägen und Maßnahmen priorisieren – ein Aspekt, der gerade bei begrenzten Ressourcen und konkurrierenden Schutzstrategien von hoher Bedeutung ist. |
| |
| ^Richtlinie^Kommentar| | ^Richtlinie^Kommentar| |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2180-blatt-1/303375924|VDI/VDE 2180 Blatt 1]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2180-blatt-2/306164093|Blatt 2]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2180-blatt-3/306163771|Blatt 3]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2180-blatt-4/331294578|Blatt 4]] | Funktionale Sicherheit in der Prozessindustrie; Grundlage IEC 61511. | | | [[https://vdi.de/2180|VDI/VDE 2180]] | Funktionale Sicherheit in der Prozessindustrie; Grundlage IEC 61511. | |
| | [[https://www.dinmedia.de/de/technische-regel/vdi-ee-4020/378351818|VDI-EE 4020 (2024)]] | Einführung in die Funktionale Sicherheit nach IEC 61508; domänenübergreifende Basisnorm. | | | [[https://vdi.de/4020|VDI-EE 4020]] | Einführung in die Funktionale Sicherheit nach IEC 61508; domänenübergreifende Basisnorm. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-2510-blatt-2/353761577|VDI 2510 Blatt 2 (2022)]] | Fahrerlose Transportsysteme, sicherheitstechnische Anforderungen; Automotive/Logistik. | | | [[https://vdi.de/2510|VDI 2510]] | Fahrerlose Transportsysteme, sicherheitstechnische Anforderungen; Automotive/Logistik. | |
| | [[https://www.dinmedia.de/de/technische-regel/vdi-2700/76329774|VDI 2700 Reihe (ab 2014)]] | Ladungssicherung im Transportwesen; klassisches Safety-Thema (Infrastruktur/Transport). | | | [[https://vdi.de/2700|VDI 2700]] | Ladungssicherung im Transportwesen; klassisches Safety-Thema (Infrastruktur/Transport). | |
| | [[https://www.dinmedia.de/en/draft-technical-rule/vdi-4062-blatt-1/376568444|VDI 4062 Blatt 1 (Entwurf 2024)]] | Evakuierung von Personen; Safety und Resilienz im Personenfluss. | | | [[https://vdi.de/4062|VDI 4062]] | Evakuierung von Personen; Safety und Resilienz im Personenfluss. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-6010-blatt-2/355808073|VDI 6010 Blatt 2 (2022)]] | Sicherheitstechnische Anlagen im Gebäude (Brandfallsteuerungen). | | | [[https://vdi.de/6010|VDI 6010]] | Sicherheitstechnische Anlagen im Gebäude (Brandfallsteuerungen). | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-1/314114388|VDI/VDE 2182 Blatt 1]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-2-1/170847294|2.1]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-2-2/173513663|2.2]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-2-3/267500528|2.3]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-3-1/187310424|3.1]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-3-2/167996669|3.2]] / [[https://www.dinmedia.de/en/technical-rule/vdi-vde-2182-blatt-4/319538752|4]] | Informationssicherheit in der industriellen Automatisierung; zentrale Security-Reihe. | | | [[https://vdi.de/2182|VDI/VDE 2182]] | Informationssicherheit in der industriellen Automatisierung; zentrale Security-Reihe. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-vde-3516-blatt-1/188604553|VDI/VDE 3516 Blatt 1 (2013)]] | Validierung von Open-Source-Software im GxP-Umfeld; Security/Safety-Schnittstelle Softwarequalität. | | | [[https://vdi.de/3516|VDI/VDE 3516]] | Validierung von Open-Source-Software im GxP-Umfeld; Security/Safety-Schnittstelle Softwarequalität. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-vde-4004-blatt-1/348409377|VDI/VDE 4004 Blatt 1 (2022/2024 Update)]] | Testen vernetzter I4.0-Systeme; Reliability- und Security-Schnittstellen. | | | [[https://vdi.de/4004|VDI/VDE 4004]] | Testen vernetzter I4.0-Systeme; Reliability- und Security-Schnittstellen. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-4002-blatt-2/144627727|VDI 4002 Blatt 2 (2011)]] | Qualifizierung von Zuverlässigkeitsingenieur:innen; Schnittstelle Safety/Security-Kompetenz. | | | [[https://vdi.de/4002|VDI 4002]] | Qualifizierung von Zuverlässigkeitsingenieur:innen; Schnittstelle Safety/Security-Kompetenz. | |
| | [[https://www.dinmedia.de/en/technical-rule/vdi-ee-5702-blatt-3/378351845|VDI-EE 5702 Blatt 3 (2024)]] | Medical SPICE für Medizinprodukte-Software; Schnittstelle Safety, Security, Softwarequalität. | | | [[https://vdi.de/5702|VDI-EE 5702]] | Medical SPICE für Medizinprodukte-Software; Schnittstelle Safety, Security, Softwarequalität. | |
| | [[https://www.dinmedia.de/de/technische-regel/vdi-3780/32141408|VDI 3780 (2024)]] | Technikbewertung: Grundlagen & Begriffe; Orientierungsrahmen für Risiko, Bewertung, Ethik. | | | [[https://vdi.de/3780|VDI 3780]] | Technikbewertung: Grundlagen & Begriffe; Orientierungsrahmen für Risiko, Bewertung, Ethik. | |
| |
| |