Der Open Trusted Technology Provider Standard (O-TTPS) ( Mitigating Maliciously Tainted and Counterfeit Products ) ist ein Standard der Open Group , der von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) im Rahmen des ISO/IEC JTC 1 als Informationstechnologiestandard zur Veröffentlichung freigegeben wurde und nun auch als ISO/IEC 20243:2015 bekannt ist. [ 1 ] Der Standard umfasst Richtlinien, Anforderungen und Empfehlungen, die sich an bewährten Verfahren für die globale Lieferkettensicherheit und die Integrität handelsüblicher Informations- und Kommunikationstechnologieprodukte (IKT ) orientieren . [ 2 ] [ 3 ] Er liegt aktuell in Version 1.1 vor. [ 4 ] [ 5 ] Eine chinesische Übersetzung wurde ebenfalls veröffentlicht. [ 6 ]

Hintergrund

Das O-TTPS wurde als Reaktion auf die sich verändernde IT-Landschaft und die zunehmende Komplexität von Cyberangriffen weltweit entwickelt. [ 7 ] Ziel ist es, Anbieter bei der Entwicklung integrer Produkte zu unterstützen und ihren Kunden mehr Vertrauen in die erworbenen Technologieprodukte zu ermöglichen. [ 8 ] Organisationen des privaten und öffentlichen Sektors sind für ihren Betrieb weitgehend auf COTS-IKT-Produkte angewiesen. Diese Produkte werden häufig global produziert, wobei Entwicklung und Fertigung an verschiedenen Standorten in mehreren Ländern stattfinden. [ 9 ] Das O-TTPS dient dazu, das Risiko gefälschter und manipulierter Komponenten zu minimieren und die Produktintegrität sowie die Sicherheit der Lieferkette über den gesamten Produktlebenszyklus hinweg zu gewährleisten. [ 10 ] [ 11 ]

Das Trusted Technology Forum (OTTF) der Open Group ist ein herstellerneutrales internationales Forum, das einen formalen, konsensbasierten Prozess für die Zusammenarbeit und Entscheidungsfindung bei der Erstellung von Standards und Zertifizierungsprogrammen für Informationstechnologie, einschließlich des O-TTPS, nutzt. [ 12 ] Im Forum arbeiten IKT-Anbieter, Integratoren und Distributoren mit Organisationen und Regierungen zusammen, um Standards zu entwickeln, die sichere Entwicklungs- und Fertigungsmethoden sowie Praktiken zur Sicherung der Lieferkette spezifizieren. [ 13 ]

Der Leitfaden zur Implementierung offener, vertrauenswürdiger Technologieanbieter in der Lieferkette [ 14 ] stellt eine Verbindung zwischen dem Cybersecurity Framework des National Institute of Standards and Technology (NIST) [ 15 ] und den in O-TTPS aufgeführten organisatorischen Praktiken her. Das NIST bezog sich in seiner Sonderveröffentlichung 800-161 „Supply Chain Risk Management Practices for Federal Information Systems and Organizations“ auf O-TTPS. Diese Veröffentlichung bietet Bundesbehörden Leitlinien zur Identifizierung, Bewertung und Minderung von Risiken in der IKT-Lieferkette auf allen Organisationsebenen. [ 16 ]

Zweck

Der von Branchenexperten des Forums entwickelte Standard legt organisatorische Vorgehensweisen fest, die während des gesamten Lebenszyklus von COTS-IKT-Produkten (Common-to-Store) Schutz vor böswillig manipulierten und gefälschten Produkten bieten. [ 17 ] Der im Standard beschriebene Lebenszyklus umfasst die folgenden Phasen: Design, Beschaffung, Herstellung, Auftragsabwicklung, Vertrieb, Wartung und Entsorgung.

Messung und Zertifizierung

Organisationen können sich im Rahmen des Trusted Technology Provider Accreditation Program der Open Group für ihre Konformität mit dem Standard zertifizieren lassen. [ 18 ] Die Konformität wird von anerkannten externen Gutachtern bewertet. [ 19 ] Nach erfolgreicher Bewertung der Standardkonformität wird die Organisation im Akkreditierungsregister der Open Group öffentlich aufgeführt. [ 20 ] Der Bewertungsprozess durch Dritte ist in den Akkreditierungsrichtlinien und -verfahren geregelt. [ 21 ]

Geschichte

Die Bemühungen zur Entwicklung des Standards begannen im Januar 2010 mit einem Treffen, das von der Open Group organisiert wurde und an dem wichtige Branchenvertreter sowie das US-Verteidigungsministerium und die NASA teilnahmen . Das Open Trusted Technology Forum wurde im Dezember 2010 offiziell gegründet, um Industriestandards zu entwickeln und die Sicherheit globaler Lieferketten sowie die Integrität von COTS-IKT-Produkten zu verbessern. [ 22 ]

Die erste Veröffentlichung des Forums war ein Whitepaper aus dem Jahr 2010, das das Trusted Technology Framework (TTF) beschrieb. [ 23 ] Das Whitepaper konzentrierte sich im Wesentlichen auf bewährte Verfahren, die gute Unternehmen bei der Entwicklung und Bereitstellung ihrer COTS-IKT-Produkte anwenden. Dieser breite Fokus wurde Ende 2010 und Anfang 2011 verengt, um den größten Bedrohungen durch gefälschte und manipulierte Produkte zu begegnen. Daraus entstand das O-TTPS, das sich speziell auf diese Bedrohungen konzentriert.

Die erste Version von O-TTPS wurde im April 2013 veröffentlicht. [ 24 ] Version 1.1 des O-TTPS-Standards wurde im Juli 2014 veröffentlicht. [ 4 ] Diese Version wurde 2015 von ISO/IEC als ISO/IEC 20243:2015 verabschiedet.

Das O-TTPS-Akkreditierungsprogramm begann im Februar 2014. IBM war das erste Unternehmen, das die Akkreditierung für die Einhaltung des Standards erhielt. [ 25 ]

Das Standard- und Akkreditierungsprogramm wurde in einer Anhörung vor dem US-Kongress zum Thema Lieferkettenrisiken und Cybersicherheit erwähnt. [ 26 ] [ 27 ] Abschnitt 888 des National Defense Authorization Act für das Haushaltsjahr 2016 (Standards für die Beschaffung sicherer Informationstechnologie und Cybersicherheitssysteme) verpflichtet den US-Verteidigungsminister, eine Bewertung von O-TTPS oder ähnlichen öffentlichen, offenen Technologiestandards durchzuführen und den Streitkräfteausschüssen des US-Senats und des US-Repräsentantenhauses innerhalb eines Jahres Bericht zu erstatten. [ 28 ]

Siehe auch

Referenzen

  1. ^ „ISO/IEC 20243:2015“ . ISO.org . Abgerufen am 24. September 2015 .
  2. ^ Bartol, Nadya (23. Mai 2016). „Cyber-Lieferkettensicherheitspraktiken DNA – Das Puzzle mit Hilfe verschiedener Disziplinen zusammensetzen“. Technovation . 34 (7): 354–361 . doi : 10.1016/j.technovation.2014.01.005 .
  3. ^ Whitman, Dave (März 2015). „Cybersicherheit in Lieferketten“. In: LeClair, Jane; Keeley, Gregory (Hrsg.). Cybersicherheit in unserem digitalen Leben . Hudson Whitman Excelsior College Press. ISBN 978-0-9898451-4-4Die
  4. ^ a b „Publikationsbibliothek der Open Group“ . opengroup.org . Die Open Group . Abgerufen am 22. Juni 2015 .
  5. ^ „ISO/IEC 20243:2015 – Informationstechnologie – Open Trusted Technology Provider™ Standard (O-TTPS) – Minderung böswillig verunreinigter und gefälschter Produkte“ . ISO . Abgerufen am 23.05.2016 .
  6. ^ „Open Trusted Technology Provider Standard 1.1 (Chinesisch)“ . Open Group Publications Library . The Open Group . Abgerufen am 6. Juni 2016 .
  7. ^ „IT-Lieferkettensicherheit: Überprüfung der Bemühungen von Regierung und Industrie“ . Repräsentantenhaus der USA. Archiviert vom Original am 8. Dezember 2014. Abgerufen am 27. März 2015 .
  8. ^ Messmer, Ellen. „Verteidigungsministerium wünscht sich sichere, globale Hightech-Lieferkette“ . Network World . IDG (International Data Group) . Abgerufen am 30. März 2015 .
  9. ^ Lennon, Mike (9. März 2012). „USCC veröffentlicht Bericht über chinesische Fähigkeiten im Bereich Cyberoperationen und Cyberspionage“ . Security Week . Nr. 9, März 2012. Wired Business Media . Abgerufen am 25. Januar 2016 .
  10. ^ „Cybersicherheit: Eine Untersuchung der Kommunikationslieferkette (Aussage vor dem Unterausschuss für Kommunikation und Technologie des Ausschusses für Energie und Handel des US-Repräsentantenhauses)“ (PDF) . Information Technology Industry Council . Abgerufen am 24. September 2015 .
  11. ^ Prince, Brian (5. März 2012). „Konsortium drängt auf Sicherheitsstandards für die Technologie-Lieferkette“ . SecurityWeek . Nr. 5. März 2012. Wired Business Media . Abgerufen am 25. Januar 2016 .
  12. ^ „Mitgliedschaft“ . opengroup.org.
  13. ^ „Open Group Trusted Technology Forum“ . opengroup.org . The Open Group . Abgerufen am 11. Mai 2015 .
  14. ^ „Implementierungsleitfaden zur Nutzung offener, vertrauenswürdiger Technologieanbieter in der Lieferkette“ . NIST.gov – Ressourcen der Cybersicherheitsbranche . The Open Group . Abgerufen am 24. September 2015 .
  15. ^ „Cybersecurity Framework“ . NIST.gov . 12. November 2013. Abgerufen am 24. September 2015 .
  16. ^ Boyens, Jon (April 2015). „Supply Chain Risk Management Practices for Federal Information Systems and Organizations“ . National Institute of Technology and Standards. doi : 10.6028/NIST.SP.800-161 .{{cite journal}}: Zeitschrift zitieren erfordert |journal=( Hilfe )
  17. ^ „Zusammenfassung der Stellungnahme der Open Group vor dem Unterausschuss für Aufsicht und Untersuchungen des Energie- und Handelsausschusses des Repräsentantenhauses zur IT-Lieferkettensicherheit: Überblick über die Bemühungen von Regierung und Industrie“ (PDF) . Energycommerce.house.gov . US-Kongress . Abgerufen am 6. Juni 2016 .
  18. ^ „Open Group Accreditation Program“ . Open Group . Archiviert vom Original am 17. April 2015. Abgerufen am 22. Juni 2015 .
  19. ^ „Register anerkannter Gutachter“ . opengroup.org . The Open Group. Archiviert vom Original am 1. Mai 2015. Abgerufen am 11. Mai 2015 .
  20. ^ „Open Group's Trusted Technology Register“ . The Open Group . Archiviert vom Original am 17. April 2015. Abgerufen am 22. Juni 2015 .
  21. ^ „Open Trusted Technology Provider Standard (O-TTPS) Accreditation Policy“ (PDF) . The Open Group . Abgerufen am 25. Januar 2016 .
  22. ^ „Die Open Group kündigt die Gründung eines Trusted Technology Forums zur Ermittlung bewährter Verfahren für die Sicherung der globalen Technologie-Lieferkette an“ . opengroup.org . Open Group. Archiviert vom Original am 5. Juni 2015. Abgerufen am 16. April 2015 .
  23. ^ „Open Trusted Technology Framework“ . opengroup.org . The Open Group . Abgerufen am 13. April 2015 .
  24. ^ "O-TTPS" . opengroup.org . The Open Group . Abgerufen am 11. Mai 2015 .
  25. ^ „IBM Secure Engineering“ . ibm.com . IBM Corp. Archiviert vom Original am 11. April 2015. Abgerufen am 13. April 2015 .
  26. ^ „Ausschuss für Energie und Handel des Repräsentantenhauses der Vereinigten Staaten“ . Ausschuss für Energie und Handel des Repräsentantenhauses der Vereinigten Staaten. Archiviert vom Original am 8. Dezember 2014. Abgerufen am 13. April 2015 .
  27. ^ „US Senate Commerce Science & Transportation“ . US-Senat . Abgerufen am 13. April 2015 .
  28. ^ „National Defense Authorization Act for Fiscal Year 2016 (S. 1356)“ . GovTrack.us . Abgerufen am 23.05.2016 .