Securing Emerging Technologies

Finn-Ole Klug, Luca Stepanian und Malte Christjan Koch sind Consultants im Bereich Security und Privacy. Gemeinsam haben sie eine Wissensgruppe gebildet, in der sie sich intensiv mit der Disziplin „Securing Emerging Technology“ (SET) auseinandersetzen. Wir haben sie dazu befragt.

Welche Bedeutung werden Emerging Technologies (ET) in Unternehmen haben?
Emerging Technologies (ET) werden die Geschäftspraxis der Zukunft formen. Deshalb steht und fällt der Unternehmenserfolg mit ihnen. Gleichzeitig stellen sie eine Gefahr für bestehende Geschäftsmodelle dar oder machen diese angreifbar. Das sehen wir zum Beispiel an der Bedrohung verschlüsselter Daten durch Quantencomputing.

Welchen Herausforderungen stehen Unternehmen hierbei gegenüber?
Unternehmen müssen einschätzen können, ob ET für Ihre Anwendungszwecke einsetzbar sind. Das Problem dabei ist: Neue, möglicherweise noch nicht bis zur Marktreife entwickelte Technologien sind weitaus schwieriger zu verstehen als bereits etablierte. Hinzu kommt dann noch die Herausforderung, ETs gegen verschiedenste Bedrohungsszenarien der Cyberwelt abzusichern. Denn durch die jeweiligen Eigenheiten neuer Technologien ergeben sich leider auch neue Angriffspunkte. Das Wissen über neue Technologien und ihren sicheren Einsatz ist in vielen Unternehmen aber nur sehr punktuell oder gar nicht vorhanden. Hier setzen wir mit unserer Arbeitsgruppe an und unterstützen unsere Klienten im Schnittpunkt zwischen Emerging Technology und IT-Sicherheit.

Was bedeutet Securing Technologies im Einzelnen?
Wir legen den Fokus auf Anwendungsszenarien und Geschäftsmodelle, die durch aufstrebende Technologien entstehen: Wie kann hier ein maximales Level an Sicherheit erreicht werden, ohne die oft hochagilen Entwicklungen von Prototypen oder Produkten zu verlangsamen? Gleichzeitig überlegen wir, wie man bestehende Sicherheitsparadigmen bereits etablierter Technologien neu denken kann. Das gilt sowohl für die technische als auch für die organisatorische Sicherheit.

Einige der von uns betrachteten Technologien haben schon einen gewissen Reifegrad in Industrie und Gesellschaft erreicht, zum Beispiel das Internet of Things (IoT) oder Blockchain. Andere sind gerade erst in der Entstehung, genauer gesagt, in rudimentären Testphasen. Das heißt, sie sind der breiten Masse noch nicht zugänglich, zum Beispiel das Quantum Computing. Wir verfolgen stetig die Entwicklungen auf dem niemals stillstehenden Tech-Markt, damit wir frühzeitig neue Technologien, die uns relevant erscheinen, untersuchen können.

Welche Methoden und Werkzeuge setzt ihr dabei ein?
Auch hier geht es darum, das Alte mit dem Neuen zu verbinden: Zum einen verlassen wir uns auf klassische Methoden zur Evaluierung von Sicherheitslagen wie der Angriffsvektoren- oder Risikoanalyse. Wir müssen unsere Methoden und Werkzeuge aber auch laufend an die neue Technologielandschaft und die damit einhergehende Veränderung in der Bedrohungslandschaft anpassen. Dazu entwickeln wir beispielsweise eine Erweiterung des Cassini TechRadars sowie des TechCockpits. Mit dem Fokus auf Sicherheit. 

Wie muss man sich dies vorstellen?
Der TechRadar bildet die Basis für eine Technologieauswahl bei unseren Kunden. Das TechCockpit nutzen wir dafür, einen schnellen Überblick über die mögliche Bedrohungslandschaft zu erhalten. Durch die Verbindung beider Werkzeuge erweitern wir den Ansatz zu einer ganzheitlichen Betrachtung und Beratung zum Thema Emerging Technologies. Die Grundidee ist, ein „Bedrohungsradar“ (ThreatRadar) zu erstellen, auf dem Technologien, ihrem Risiko-Exposure entsprechend, in verschiedene Kategorien eingeordnet werden können. Daraus leitet sich dann die Frage ab, wie diesen Bedrohungen zu begegnen ist.

Gibt es schon Best Practices im Bereich Sicherheit für ET?
Für den Einsatz von Blockchain-Technologie und besonders beim Thema IoT gibt es verschiedene Institutionen, die Empfehlungen aussprechen oder Spezifikationen zum sicheren Einsatz dieser Technologien erstellen. Zum Beispiel das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder auf internationaler Ebene die ETSI. Für Technologien, die noch weit von ihrer Marktreife entfernt sind, gibt es aber praktisch keine „Best Practices“, lediglich wissenschaftliche Schriften über Auswirkungen neuer Technologien auf verschiedene Sicherheitsaspekte. 

Was können wir unseren Kunden hier anbieten?
Wir verfolgen mit unserer Arbeit zwei Ziele. Erstens: Unsere Klienten fundiert zu beraten, wenn es um IT-Sicherheit beim Einsatz neuester Technologien geht. Zweitens: Den Blick stetig über den Tellerrand zu werfen, damit wir kommende Technologien und ihre Herausforderungen in der Informations- und IT-Sicherheit so früh wie möglich kennenlernen und bewerten können. Kunden profitieren also von unserem breiten Repertoire zur Absicherung von bewährten sowie von neuen Technologien. Wir bringen eine immense Projekterfahrung in der Privatwirtschaft und der öffentlichen Verwaltung mit. In beiden Bereichen werden zunehmend ET eingesetzt und mit unserer Unterstützung abgesichert.