Software-Inventarliste wird Pflicht für alle Geräte – Anforderungen und Vorteile zusammengefasst

Software-Inventarliste wird Pflicht für alle Geräte – Anforderungen und Vorteile zusammengefasst

• Whitepaper zur Software Bill of Materials (SBOM) zeigt kommende gesetzliche Anforderungen und Pflichten auf
• Best Practice zur Umsetzung der digitalen Stücklisten-Analyse aller Softwarekomponenten in Geräten mit digitalen Elementen

Düsseldorf, 7. Dezember 2023 – Eines haben alle kommenden IT-Sicherheitsgesetze – allen voran der EU Cyber Resilience Act (CRA-E) – gemeinsam: Künftig muss eine Software Bill of Materials (SBOM) nachweisen, welche Softwarekomponenten in einem Gerät enthalten sind. „Zahlreiche Cyber-Sicherheitsvorfälle der letzten Jahre zeigen, dass von unerkannt installierter Gerätesoftware bzw. Firmware erhebliche Gefahren ausgehen. Viele dieser Schwachstellen sind auf unausgereifte Sicherheitspraktiken zurückzuführen. Eine Software Bill of Materials macht die Komponenten mit Schwachstellen sichtbar“, sagt Jan Wendenburg, CEO von ONEKEY. Das auf IoT und OT-Cybersicherheit spezialisierte Unternehmen betreibt eine als SaaS-Dienst nutzbare Sicherheitsplattform, die eine automatisierte Prüfung und Risikobewertung der Software von Geräten vornimmt und ebenso automatisiert eine SBOM, d.h. Software-Stückliste, erstellt. Mit einem eigenen Sicherheitsteam, bestehend aus anerkannten Experten und White Hackern, konnte ONEKEY in den letzten Jahren durch eigene Recherchen auf schwerwiegende Sicherheitslücken hinweisen, die in der Folge geschlossen werden konnten. „Dies unterstreicht den dringenden Bedarf an Software-Stücklisten (SBOMs), die für transparente Software-Lieferketten und Verantwortlichkeit in der Softwareproduktion und -distribution sorgen. Richtlinien dazu gibt es bereits jetzt– und mit der endgültigen Verabschiedung des EU Cyber Resilience Act werden SBOMs in Kürze auch gesetzlichverpflichtend“, so Wendenburg weiter. 

Umfassendes Whitepaper bietet Leitfaden und technische Unterstützung

Das europäische Unternehmen mit Hauptsitz in Deutschland, das für seine Verdienste rund um die Cybersicherheit von IoT und OT Geräten mehrfach ausgezeichnet wurde, hat zu diesem Thema ein umfassendes Whitepaper in englischer Sprache mit dem Titel „Software Supply Chain Regulations: How to Achieve Effective & Efficient SBOM Management“ erstellt. „Die Erstellung und Pflege von SBOMs ist ein wesentlicher Bestandteil der gesamten Software-Lieferkette – nicht nur für Hersteller, die Komponenten zukaufen, sondern auch für Anlagen mit digitalen Elementen, die bereits seit Jahren im Einsatz sind. Immer wieder finden unsere und andere Cybersecurity Experten Zero Day-Schwachstellen in IoT oder OT-Technologie, die jahrelang völlig unter dem Radar geflogen sind“, warnt Jan Wendenburg von ONEKEY. Das Whitepaper, das unter diesem Link heruntergeladen werden kann, beleuchtet sämtliche Aspekte wie Form und Aufbau, rechtliche Anforderungen, standardisierte Formate von SBOMs und die besonderen Herausforderungen bei IoT und OT-Geräten, die eine Vielzahl versteckter Softwaremodule enthalten und zudem häufig Software aus Open Source Quellen enthalten, und bietet damit einen Leitfaden für ein effektives und effizientes SBOM-Management.

BSI bestätigt SBOM als zentrale Sicherheitskomponente

Auch das Bundesamt für Sicherheit in der Informationstechnik BSI weist mit der Technischen Richtlinie TR-03183 auf die Bedeutung von SBOMs hin. Diese sollen laut BSI bei jedem Softwarehersteller und -anbieter vorhanden sein, um die Komplexität der eingesetzten Programme transparent darstellen zu können. Dieses Wissen sei für Managementprozesse wie den Produktlebenszyklus und insbesondere für einen durchgängigen IoT/ OT Cybersicherheitsprozess unabdingbar. Die Software Bill of Materials dient als transparente Dokumentation der Software-Lieferkette.

„Die Erstellung und laufende Pflege der SBOM muss zum Teil des Workflows werden – sowohl in der Entwicklung (CI/CD Pipeline) als auch im Vertrieb und im laufenden Betrieb (PSIRT Teams) von IoT und OT-Technologie. Die automatische Erstellung der SBOM hilft sowohl bei Audits, aber vor allem auch im Krisenfall, wenn Nachweispflichten entstehen“, erklärt Jan Wendenburg von ONEKEY abschließend. 

Über ONEKEY: 

ONEKEY ist Europas führender Spezialist für Product Cybersecurity & Compliance Management. Die einzigartige Kombination aus einer automatisierten Product Cybersecurity & Compliance Platform (PCCP) mit Expertenwissen und Consulting Services bietet schnelle und umfassende Analyse, Unterstützung und Management zur Verbesserung der Produkt Cybersecurity und Compliance vom Produkt Einkauf, Design, Entwicklung, Produktion bis zum End-of-Life. 

Kritische Sicherheitslücken und Compliance-Verstöße in der Geräte-Firmware werden durch die KI-basierte Technologie innerhalb von Minuten vollautomatisch im Binärcode identifiziert – ohne Quellcode, Geräte- oder Netzwerkzugriff. Durch die integrierte Erstellung von „Software Bill of Materials (SBOM)“ können Software-Lieferketten proaktiv überprüft werden. „Digital Cyber Twins“ ermöglichen die automatisierte 24/7 Überwachung der Cybersicherheit auch nach dem Release über den gesamten Produktlebenszyklus. 

Die integrierte Compliance-Prüfung deckt bereits heute den kommenden EU Cyber Resilience Act und bestehende Anforderungen nach IEC62443-4-2, EN303645, UNR155 und vielen anderen ab.

Das Product-Security-Incident-Response-Team (PSIRT) wird durch die integrierte, automatische Priorisierung von Schwachstellen effektiv unterstützt und die Zeit bis zur Fehlerbehebung deutlich verkürzt.

International führende Unternehmen in Asien, Europa und Amerika profitieren bereits erfolgreich von der ONEKEY Product Cybersecurity & Compliance Plattform und den ONEKEY Cybersecurity Experten.