Sicherheitsanforderungen

Sicherheitsanforderungen bezeichnen die Vorgaben, Bedingungen und Maßnahmen, die erfüllt sein müssen, um Vermögenswerte wie Informationen, Systeme und Prozesse vor Bedrohungen zu schützen. Sie definieren, welche Schutzziele erreicht werden sollen, typischerweise Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität und Nachweisbarkeit, sowie Anforderungen an Schutzmechanismen, Betriebsprozesse und Compliance.

Sicherheitsanforderungen entstehen aus Risikoanalysen, gesetzlichen und regulatorischen Vorgaben, vertraglichen Verpflichtungen sowie aus Sicherheitszielen des Unternehmens. Sie leiten die Entwicklung, den Betrieb und die Wartung von Systemen und Produkten. In der Praxis werden sie in Sicherheitsfunktionen (z. B. Zugriffskontrolle, Verschlüsselung, Integritätsprüfungen) und sicherheitsrelevante Nichtfunktionalitäten (z. B. Leistungs- und Skalierbarkeitsanforderungen, Verfügbarkeit, Wiederherstellbarkeit) unterschieden.

Der Sicherheitslebenszyklus umfasst Identifikation, Spezifikation, Implementierung, Validierung, Nachweisführung und regelmäßige Audits. Sicherheitsanforderungen sollten principiengeleitet, testbar und nachvollziehbar dokumentiert sein, um Risikoakzeptanz zu vermeiden und Verifikation zu ermöglichen. Sicherheitsanforderungen sind häufig mit Standards und Normen verknüpft; gängige Referenzen sind ISO/IEC 27001 und ISO/IEC 27002, der BSI IT-Grundschutz, Common Criteria, OWASP ASVS sowie branchenspezifische Normen wie IEC 62443 für industrielle Automatisierung.

Praxisbeispiele umfassen Verschlüsselung von Daten im Ruhezustand und in Transit, starke Authentisierung, detailliertes Logging, Patch-Management, Schutz vor Eingabevalidierungsfehlern, Least-Privilege-Prinzip und robuste Incident-Response-Prozesse.