Software-Inventarliste: Pflicht für alle Geräte
Eines haben alle kommenden IT-Sicherheitsgesetze – allen voran der EU Cyber Resilience Act (CRA-E) – gemeinsam: Künftig muss eine Software Bill of Materials (SBOM) nachweisen, welche Softwarekomponenten in einem Gerät enthalten sind – in einer Software-Inventarliste.
“Zahlreiche Cyber-Sicherheitsvorfälle der letzten Jahre zeigen, dass von unerkannt installierter Gerätesoftware bzw. Firmware erhebliche Gefahren ausgehen. Viele dieser Schwachstellen sind auf unausgereifte Sicherheitspraktiken zurückzuführen. Eine Software Bill of Materials macht die Komponenten mit Schwachstellen sichtbar, also in einer Software-Inventarliste”, sagt Jan Wendenburg, CEO von Onekey.
Das auf IoT und OT-Cybersicherheit spezialisierte Unternehmen betreibt eine als SaaS-Dienst nutzbare Sicherheitsplattform, die eine automatisierte Prüfung und Risikobewertung der Software von Geräten vornimmt und ebenso automatisiert eine SBOM, d.h. Software-Stückliste, erstellt. Mit einem eigenen Sicherheitsteam, bestehend aus anerkannten Experten und White Hackern, konnte Onekey in den letzten Jahren durch eigene Recherchen auf schwerwiegende Sicherheitslücken hinweisen, die in der Folge geschlossen werden konnten. “Dies unterstreicht den dringenden Bedarf an Software-Stücklisten (SBOMs), die für transparente Software-Lieferketten und Verantwortlichkeit in der Softwareproduktion und -distribution sorgen. Richtlinien dazu gibt es bereits jetzt- und mit der endgültigen Verabschiedung des EU Cyber Resilience Act werden SBOMs in Kürze auch gesetzlichverpflichtend”, so Wendenburg weiter.
Software-Inventarliste: Whitepaper bietet technische Unterstützung
Das europäische Unternehmen mit Hauptsitz in Deutschland hat zu diesem Thema ein umfassendes Whitepaper in englischer Sprache mit dem Titel “Software Supply Chain Regulations: How to Achieve Effective & Efficient SBOM Management” erstellt. “Die Erstellung und Pflege von SBOMs ist ein wesentlicher Bestandteil der gesamten Software-Lieferkette – nicht nur für Hersteller, die Komponenten zukaufen, sondern auch für Anlagen mit digitalen Elementen, die bereits seit Jahren im Einsatz sind. Immer wieder finden unsere und andere Cybersecurity Experten Zero Day-Schwachstellen in IoT oder OT-Technologie, die jahrelang völlig unter dem Radar geflogen sind”, warnt Jan Wendenburg von Onekey. Das Whitepaper beleuchtet sämtliche Aspekte wie Form und Aufbau, rechtliche Anforderungen, standardisierte Formate von SBOMs und die besonderen Herausforderungen bei IoT und OT-Geräten, die eine Vielzahl versteckter Softwaremodule enthalten und zudem häufig Software aus Open Source Quellen enthalten, und bietet damit einen Leitfaden für ein effektives und effizientes SBOM-Management.
BSI bestätigt SBOM als zentrale Sicherheitskomponente
Auch das Bundesamt für Sicherheit in der Informationstechnik BSI weist mit der Technischen Richtlinie TR-03183 auf die Bedeutung von SBOMs hin. Diese sollen laut BSI bei jedem Softwarehersteller und -anbieter vorhanden sein, um die Komplexität der eingesetzten Programme transparent darstellen zu können. Dieses Wissen sei für Managementprozesse wie den Produktlebenszyklus und insbesondere für einen durchgängigen IoT/ OT Cybersicherheitsprozess unabdingbar. Die Software Bill of Materials dient als transparente Dokumentation der Software-Lieferkette.
“Die Erstellung und laufende Pflege der SBOM muss zum Teil des Workflows werden – sowohl in der Entwicklung (CI/CD Pipeline) als auch im Vertrieb und im laufenden Betrieb (PSIRT Teams) von IoT und OT-Technologie. Die automatische Erstellung der SBOM hilft sowohl bei Audits, aber vor allem auch im Krisenfall, wenn Nachweispflichten entstehen”, erklärt Jan Wendenburg von Onekey abschließend.
