En praktisk guide till att skilja mellan cybersäkerhetsriskbedömning, hotmodellering, riskhantering och TARA vid utveckling av uppkopplade produkter.
Börja med begreppen
Team som utvecklar uppkopplade produkter använder ofta riskbedömning, hotmodell, hotanalys och TARA som om de betydde samma sak. De överlappar, men besvarar olika frågor och kan användas på olika sätt i olika sektorer.
Ett cyberhot är en potentiellt skadlig omständighet, händelse eller handling. En sårbarhet är en svaghet, mottaglighet eller brist som kan utnyttjas av ett cyberhot. En cybersäkerhetsrisk avser möjlig förlust eller störning och kombinerar omfattningen av den möjliga förlusten eller störningen med sannolikheten för den relevanta incidenten. En lista över hot är därför inte i sig en slutförd riskbedömning. Definitionerna som används i Cyber Resilience Act bygger på Cybersecurity Act.
En hotmodell är en strukturerad representation som används för att identifiera säkerhets- och integritetsrelaterade frågor. Den kan dokumentera systemgränser, tillgångar, dataflöden, gränssnitt, attackvektorer och möjliga hot. Metoderna varierar: erkända angreppssätt omfattar STRIDE, PASTA, LINDDUN och attackträd, och OWASP föreskriver ingen officiell metod.
En cybersäkerhetsriskbedömning fördjupar sig i produktens sammanhang och identifierade frågor. Den utvärderar riskerna som är förknippade med en produkt och stöder beslut om tillämpliga krav och lämplig hantering.
Riskhantering är ännu bredare. ISO 31000 beskriver det som en process som omfattar identifiering, analys, utvärdering, hantering, övervakning och kommunikation av risk. Standarden ger vägledning och är inte certifierbar.
TARA, eller Threat Analysis and Risk Assessment, är det namngivna angreppssättet inom fordonsindustrin i ISO/SAE 21434. Det är en erkänd metod för elektriska och elektroniska system i vägfordon, snarare än en allmän juridisk benämning som Cyber Resilience Act kräver att tillverkare använder.
Vad Cyber Resilience Act kräver
Cyber Resilience Act kräver att tillverkare genomför en cybersäkerhetsriskbedömning för produkter med digitala element. Enligt artikel 13 måste bedömningen dokumenteras, användas under planering, konstruktion, utveckling, produktion, leverans och underhåll samt uppdateras när det är lämpligt under supportperioden.
Bedömningen måste ta hänsyn till produktens avsedda ändamål, rimligen förutsebar användning, användningsförhållanden, driftsmiljö, tillgångar som kräver skydd och förväntad användningstid. Resultatet ska bidra till att fastställa vilka tillämpliga väsentliga cybersäkerhetskrav i bilaga I som gäller för produkten, och bedömningen utgör en del av den tekniska dokumentationen.
Förordningen anger vilket sammanhang, vilket underlag och vilka resultat som krävs. Den föreskriver inte en specifikt namngiven metod, kräver inte TARA, föreskriver inte hotmodellering och fastställer inte ett bestämt antal bedömningssteg. Ett team kan välja en metod som passar produkten, förutsatt att bedömningen visar att de tillämpliga rättsliga kraven täcks.
| Term | Praktisk innebörd | Cyber Resilience Act-position |
|---|---|---|
| Hot | En potentiellt skadlig omständighet, händelse eller handling | Ett hot skiljer sig från den risk som följer av det |
| Sårbarhet | En svaghet, mottaglighet eller brist som ett cyberhot kan utnyttja | Skiljer sig både från ett hot och från den risk som följer av det |
| Hotmodell | Ett strukturerat sätt att identifiera och beskriva säkerhetsfrågor | Kan vara användbart underlag, men ingen enskild metod är obligatorisk |
| Cybersäkerhetsriskbedömning | Produktspecifik bedömning av cybersäkerhetsrisker och relevanta krav | Krävs enligt artikel 13 |
| Riskhantering | Den bredare cykeln av bedömning, hantering, övervakning och kommunikation | Stöder varaktig hantering av bedömningens resultat |
| TARA | Ett definierat angreppssätt för hotanalys och riskbedömning inom fordonsindustrin | Krävs inte enligt förordningen |
Att använda hotmodellering inom en bredare bedömning
Hotmodellering är ofta ett värdefullt underlag för en bredare cybersäkerhetsriskbedömning. Den ger teamet ett disciplinerat sätt att förstå produkten och identifiera meningsfulla hotscenarier innan det avgör vilken hantering som behövs.
För produkter för industriell automation och styrsystem ger IEC 62443-4-1:2018 ett ramverk för en säker produktutvecklingslivscykel. Standardens SR-2-process för produkthotmodeller omfattar relevanta element som tillitsgränser, processer, datalager, externa entiteter, protokoll, portar, attackvektorer, hot, motåtgärder och externa beroenden.
Detta är ett omfattande ingenjörsarbete, men en hotmodell visar inte automatiskt att alla krav i Cyber Resilience Act har behandlats. Tillverkaren behöver fortfarande produktspecifikt underlag om bedömningen, besluten om tillämpliga krav och den fortlöpande hanteringen under supportperioden.
Metodernas avgränsning varierar också. Vissa organisationer beskriver hotmodellering som ett underlag för riskbedömning, medan andra använder en metod som knyter ihop hotidentifiering och riskanalys närmare. Det viktiga är att det valda angreppssättet är tydligt, repeterbart och kan ta fram det underlag som krävs för produkten.
TARA i fordonskontext
ISO/SAE 21434:2021 behandlar hantering av cybersäkerhetsrisker för elektriska och elektroniska system i vägfordon. Avsnitt 15 beskriver modulära TARA-aktiviteter som omfattar:
- identifiering av tillgångar;
- identifiering av hotscenarier;
- konsekvensbedömning;
- analys av attackvägar;
- bedömning av attackgenomförbarhet;
- fastställande av riskvärde; och
- beslut om riskhantering.
Terminologin är viktig. ISO/SAE 21434 fastställer riskvärdet utifrån konsekvens och attackgenomförbarhet. Attackgenomförbarhet bör inte bara ges en ny beteckning som sannolikhet för förekomst: standarden använder egna bedömningsbegrepp och termer.
Dess hanteringsalternativ omfattar att undvika, minska, dela och behålla risk. Det är välbekanta val inom riskhantering, men TARA-metoden är särskilt avgränsad till fordonsområdet. Utanför detta område kan team ändå använda jämförbar logik, men deras dokumentation bör ange den metod som faktiskt använts och undvika att antyda att ISO/SAE 21434 gäller för en produkt när den inte gör det.
Säkerhet och cybersäkerhet hänger ihop men skiljer sig åt
Machinery Regulation kräver riskbedömning och riskreducering för maskiner. Den behandlar också skydd mot korruption och styrsystems säkerhet och tillförlitlighet. Dessa bestämmelser kan göra cybersäkerhetsanalys relevant för maskiner, särskilt när en kompromettering kan påverka styrbeteende eller säkerhetsfunktioner.
Säkerhets- och cybersäkerhetsanalyser ställer dock olika frågor:
| Område | Central fråga | Typiskt fokus |
|---|---|---|
| Maskinsäkerhetsriskbedömning | Vilka faror kan skada människor, och hur bör risken minskas? | Säkerhetsrelaterade faror och riskreducering |
| Cybersäkerhetsriskbedömning | Vilka cybersäkerhetsrisker uppstår genom produkten och dess användning, och hur bör de hanteras? | Hotscenarier, skyddade tillgångar, produktkontext och cybersäkerhetsåtgärder |
De bör informera varandra när en cybersäkerhetshändelse kan skapa eller förvärra en säkerhetsfara. De bör inte sammanföras under en enda benämning som döljer någon av kravuppsättningarna.
För produkter som omfattas av båda regelverken tillåter artikel 13.4 i Cyber Resilience Act att cybersäkerhetsriskbedömningen utgör en del av en riskbedömning som krävs enligt annan unionsrätt. Detta kan stödja ett integrerat underlag, men undanröjer inte behovet av att visa hur varje tillämpligt rättsligt krav har täckts. Oavsett om ett dokument eller länkade dokument används bör resonemangen kring säkerhet och cybersäkerhet förbli spårbara.
Ett praktiskt arbetsflöde för produktbedömning
Ett användbart arbetsflöde kan anpassas till produkten och den valda metoden utan att framställas som den enda vägen till efterlevnad.
Definiera produktkontexten och tillgångarna
Beskriv det avsedda ändamålet, rimligen förutsebar användning, driftsförhållanden, driftsättningsmiljö och förväntad användningstid. Identifiera de tillgångar som kräver skydd, såsom programvara, konfiguration, autentiseringsuppgifter, kommunikation, säkerhetsrelevanta funktioner, servicegränssnitt och data.
Detta ger den produktspecifika kontext som krävs enligt artikel 13. Det ger också ingenjörsteamen en gemensam grund för att avgöra vilka gränssnitt och beroenden som behöver uppmärksammas.
Identifiera hotscenarier
Använd den valda metoden för hotmodellering eller bedömning för att identifiera trovärdiga scenarier som påverkar tillgångarna och deras säkerhetsegenskaper. Dokumentera systemgränsen, relevanta gränssnitt, externa beroenden och antaganden. Ett scenario bör tydligt visa vad som är målet, hur en kompromettering kan uppstå och vad som kan påverkas.
Målet är inte att skapa en abstrakt katalog över alla möjliga cyberhändelser. Det är att skapa en produktspecifik och granskningsbar redogörelse för de frågor som är relevanta för produktens användning och miljö.
Utvärdera risker med den valda metoden
Tillämpa de kriterier som definierats för produkten och metoden. Det kan omfatta konsekvens och sannolikhet eller, i en TARA för fordonsindustrin, konsekvens och attackgenomförbarhet. Behandla inte dessa mått som utbytbara enbart för att de har närliggande roller vid riskbedömning.
Bedömningen bör förklara den använda skalan, de antaganden som gjorts, det underlag som beaktats och kriterierna för att acceptera eller eskalera en risk. Det möjliggör senare granskning och uppdatering.
Välj och spåra hanteringsbeslut
För varje väsentlig risk ska det beslutas om den ska undvikas, minskas, delas eller behållas, när dessa alternativ är lämpliga enligt metoden och organisationens kriterier. Dokumentera den valda hanteringen, de resulterande kraven eller kontrollerna, ansvarig roll och underlag som visar att implementeringen har kontrollerats.
För en produkt som omfattas av Cyber Resilience Act ska resultatet spåras till de tillämpliga kraven i bilaga I. Det bidrar till att visa hur bedömningen påverkar konstruktion och aktiviteter under livscykeln, i stället för att bli ett dokument som skapas först i slutet av utvecklingen.
Håll bedömningen aktuell
Bedömningen bör förbli en del av produktens livscykelhantering. Artikel 13 kräver att den uppdateras när det är lämpligt under supportperioden. Ändringar i produkten, gränssnitten, beroendena, driftsmiljön, kända sårbarheter eller avsedd användning kan kräva att teamet ser över antaganden, scenarier och hanteringsbeslut.
FprEN 40000-1-2:s ställning
FprEN 40000-1-2 har för närvarande titeln Principles, product risk management, and lifecycle activities. Dess projektpost hos CEN-CENELEC visar att den är under godkännande och anger att ingen hänvisning för förordning (EU) 2024/2847 förväntas.
Den kan vara användbar som en indikation på aktuell teknisk utvecklingsriktning, men bör inte framställas som en publicerad harmoniserad standard eller som något som ger presumtion om överensstämmelse. Enligt artikel 27 i Cyber Resilience Act uppstår den begränsade presumtion som är knuten till en harmoniserad standard först när dess hänvisning har offentliggjorts i Europeiska unionens officiella tidning, och endast för de krav som täcks.
Underlag att behålla
En hållbar cybersäkerhetsriskbedömning är inte bara ett riskregister. Det bevarade underlaget bör göra det möjligt för en annan kompetent granskare att förstå produkten, resonemanget och de beslut som fattats. Det bör omfatta:
- produktkontexten, avsett ändamål, förutsebar användning, miljö och förväntad användningstid;
- identifierade tillgångar, gränssnitt, beroenden och antaganden;
- den valda metoden för hotmodellering eller bedömning samt utvärderingskriterierna;
- hotscenarier och underlaget som stöder deras utvärdering;
- riskvärden eller riskklassningar, inklusive åtskillnaden mellan sannolikhet och attackgenomförbarhet där det är relevant;
- hanteringsbeslut, implementeringsspårbarhet och verifieringsunderlag;
- kopplingen till tillämpliga krav i bilaga I till Cyber Resilience Act; och
- granskningsunderlag och uppdateringar som gjorts under supportperioden.
Tydlig terminologi bidrar till att bevara detta underlag. Använd hotmodell för den strukturerade identifieringsaktiviteten, cybersäkerhetsriskbedömning för den obligatoriska produktspecifika bedömningen, riskhantering för den bredare löpande cykeln och TARA när fordonsmetoden i ISO/SAE 21434 faktiskt tillämpas.