Verwaltung von Sicherheitsnachweisen in sicherheitskritischen Organisationen

Mit der zunehmenden Verbreitung von offenen und vernetzten Produkten ist Cybersicherheit zu einem ernsthaften Thema in sicherheitskritischen Bereichen wie der Automobilindustrie geworden. Infolgedessen sind Aufsichtsbehörden strenger geworden in ihren Anforderungen an die Cybersicherheit, was für Produkte, die in diesen Bereichen entwickelt werden, Sicherheitssicherung erforderlich macht. Als Reaktion darauf haben Unternehmen neue oder modifizierte Prozesse implementiert, um Sicherheit in den Produktentwicklungszyklus zu integrieren, was zu einer großen Menge an Nachweisen geführt hat, die Behauptungen über das Erreichen eines bestimmten Sicherheitsniveaus unterstützen. Die Verwaltung von Nachweisen ist jedoch keine triviale Aufgabe, insbesondere bei komplexen Produkten und Systemen. Diese Arbeit präsentiert eine qualitative Interviewsstudie, die in sechs Unternehmen zur Reife der Verwaltung von Sicherheitsnachweisen in sicherheitskritischen Organisationen durchgeführt wurde. Wir stellen fest, dass die aktuelle Reife der Verwaltung von Sicherheitsnachweisen unzureichend ist für die steigenden Anforderungen von Zertifizierungsbehörden und Normungsorganisationen. Organisationen sind derzeit nicht in der Lage, relevante Artefakte als Sicherheitsnachweise zu identifizieren und diese Nachweise auf organisationaler Ebene zu verwalten. Ein Teil des Grundes sind Bildungslücken, der andere ein Mangel an Prozessen. Der Einfluss von KI auf das Management von Sicherheitsnachweisen ist noch eine offene Frage.