6 Teil 6: V-Modell-Referenz Aktivitäten

6.3 Aktivitäten

6.3.7 Anforderungen und Analysen

6.3.7.8 Sicherheitsanalyse durchführen und bewerten

Sinn und Zweck

Die »Sicherheitsanalyse wird für diejenigen Systemelemente durchgeführt, für die in den zugehörigen Implementierungs-, Integrations- und Prüfkonzepten eine Sicherheitsrelevanz festgestellt wurde.

Im Verlauf der Entwicklung wird das »System in Teilsysteme (»Segmente, »HW-Einheiten, »SW-Einheiten, »HW-Komponenten, »HW-Module, »SW-Komponenten, »SW-Module) untergliedert. Mit jedem dieser Teilsysteme ist, wie mit dem darüberliegenden System, ein Risiko verbunden. Dieses ist bei jedem Dekompositionsschritt zu ermitteln und zu spezifizieren.

Auf der Basis der vertraglich als Bestandteil der Anwenderanforderungen festgelegten Sicherheitsvorgaben/Risikoakzeptanz ist im Systemerstellungsprozess durch eine Gefährdungs- und Risikoanalyse zu entscheiden, welche Gefährdungen existieren, welches Risiko daraus resultiert und wie das Risiko durch risikomindernde Maßnahmen auf ein akzeptiertes Maß gesenkt werden kann. Im Einzelnen sind für jedes Systemelement folgende Schritte durchzuführen:

• Die Gefährdungen sind zu identifizieren.
• Potentielle Schäden, die aus den Gefährdungen resultieren, sind zu ermitteln.
• Die mit den Gefährdungen und Schäden verbundenen Risiken sind zu beurteilen.
• Die Akzeptanz der Risiken ist auf der Basis vorliegender Kriterien zu ermitteln.
• Für alle als nicht akzeptabel eingestuften Risiken sind risikomindernde Maßnahmen zu definieren.

In diesem Zusammenhang ist zudem zu prüfen, ob technische Maßnahmen - wie Änderungen am Design - oder organisatorische Maßnahmen - wie Planungsänderungen - zur Risikominderung zu bevorzugen sind. Sind Designänderungen erforderlich, so ist der Änderungswunsch über eine Problemmeldung/einen Änderungsantrag mitzuteilen. Wenn mehrere Alternativen zur Risikominderung vorhanden sind, wird dies im Änderungswunsch vermerkt und geht in den Änderungsvorschlag ein. Findet sich keine Lösung, so muss zusammen mit dem Auftrageber eine Lösung für diesen Sachverhalt ermittelt werden.

6.3.7.8.1 Gefährdungen identifizieren und Schäden klassifizieren

Für jedes als sicherheitskritisch eingestufte Systemelement (Architekturelement beziehungsweise HW-/SW-Komponente) sind die potentiellen Gefährdungen, die zu einem Schadensereignis führen können, zu ermitteln. Für die festgestellten Gefährdungen ist die Schadenshöhe zu ermitteln und die Schadensklasse - je betroffener Schadenskategorie - zuzuordnen.

6.3.7.8.2 Sicherheitsanalyse durchführen

Für alle sicherheitskritischen Systemelemente ist eine »Sicherheitsanalyse durchzuführen. Für jede ermittelte Gefährdung sind mögliche Ursachen und deren jeweilige Risiken hinsichtlich Auftreten, Bedeutung und Entdeckung abzuschätzen und zu bewerten. Ergibt die Bewertung einen Wert, der einen festgelegten Schwellenwert übersteigt oder außerhalb des akzeptierten Bereichs liegt, so sind für das betrachtete Systemelement risikomindernde Maßnahmen zu definieren. Die Analyseergebnisse - Ursachen, Eintrittswahrscheinlichkeiten, Risiken und Risikoakzeptanz - sind zu dokumentieren.

6.3.7.8.3 Risikominderungsmaßnahmen identifizieren und festlegen

Für alle in der »Sicherheitsanalyse als nicht akzeptierbar bewerteten Risiken sind Maßnahmen zur Risikominderung zu ermitteln. Diese Maßnahmen beeinflussen einerseits - in Form konstruktiver Maßnahmen wie Redundanz, Identifikation, Authentifizierung, Access Control - den Erstellungsprozess und andererseits den Prüfprozess im Falle analytischer QS-Maßnahmen. Die risikomindernden Maßnahmen sind auf der Basis der Vorgaben des Projekthandbuches hinsichtlich der Sicherheit auszuwählen.

Die identifizierten Maßnahmen sind hinsichtlich ihrer Auswirkung bei der Durchführung zu analysieren und zu bewerten. Dabei ist beispielsweise der Grad der Risikominderung festzustellen oder der Aufwand der Umsetzung zu ermitteln. Darüber hinaus lassen sich die Auswirkungen auf die Inbetriebnahme, den Betrieb, die Stilllegung und das Bedienpersonal ermitteln. Die Ergebnisse dieser Analyse und Bewertung sind zu dokumentieren. Darauf aufbauend sind geeignete Maßnahmen zur Durchführung der Risikominderung festzulegen. Die Entscheidungsfindung ist wiederum zu dokumentieren.

Sollten keine geeigneten »Sicherheitsmaßnahmen gefunden werden oder sollten zusätzlich Erfolg versprechende Maßnahmen zur Risikominderung existieren beziehungsweise vorstellbar sein, so muss mit dem Auftraggeber verhandelt werden und die so gefundene Lösung im Rahmen einer Problemmeldung/einem Änderungsantrag beantragt und dokumentiert werden.