-
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zum Management von Risiken eines technischen Systems, welches mehrere technische Einrichtungen aufweist.
-
Verfahren zum Management von Risiken sind grundsätzlich bekannt und beruhen häufig auf der Norm ISO 31000.
-
Der internationale Standard IEC 62442-3-2 beschreibt allgemein eine Vorgehensweise zur Ermittlung und/oder Bewertung des IT-Security-Risikos eines industriellen Automatisierungs- und Steuerungssystems (in Englisch: Industrial Automation and Control System (IACS)). Zudem wird erläutert, dass anhand von Sicherheitsmaßnahmen das Risiko auf ein tolerierbares Level reduziert werden soll.
-
Vor diesem Hintergrund ist es Aufgabe der Erfindung, ein Verfahren anzugeben, mittels dessen das Management von Risiken eines oder mehrerer Systeme, welches mehrere technische Einrichtungen aufweist, zu ermöglichen.
-
Diese Aufgabe wird durch ein Verfahren der eingangs genannten Art gelöst, bei welchem für die mehreren technischen Einrichtungen eine jeweilige Risikoinformation ermittelt wird, welche ein für eine technische Einrichtung ermitteltes Risiko repräsentiert. Die Risikoinformation wird anhand einer Hierarchie ermittelt, bei der wenigstens eine Teileinrichtung, welche einen Teil der technischen Einrichtung bildet, in einer Hierarchieebene liegt, die einer Hierarchieebene der technischen Einrichtung untergeordnet ist.
-
Die Erfindung beruht auf der Erkenntnis, dass die bisherigen Ansätze für das Erfassen und Bewerten von Risiken singulär ausgestaltet sind und ein Gesamtbild der betrachteten Lösung ausschließlich mit einem großen manuellen Aufwand erzielt werden kann.
-
Zudem wurde mit der Erfindung erkannt, dass eine zyklische Aktualisierung (beispielsweise bei geänderter Bedrohungslage) mit einem großen Aufwand verbunden ist.
-
Die erfindungsgemäße Lösung behebt diese Probleme, durch die Hierarchisierung bzw. Strukturierung des Managements der Risiken des betrachteten technischen Systems. Dadurch wird das Zusammenwirken der Teileinrichtungen bei dem Management von Risiken berücksichtigt. Zudem können verschiedene Analyse-Artefakte und deren Interaktion auf der Hierarchieebene der technischen Einrichtungen aggregiert werden, um ein Gesamtbild für eine System oder gar ein ganzes Unternehmen zu erhalten. Entsprechend ermöglicht das erfindungsgemäße Verfahren, beliebig viele Systeme zu integrieren und damit das Risikomanagement eines ganzen Unternehmens durchzuführen und regelmäßig zu aktualisieren.
-
Die erfindungsgemäß Lösung ist zudem skalierbar und folglich für das Risikomanagement von kleinen Anlagen (z.B. ein Fahrzeug) oder großen Anlagen (z.B. ein gesamtes, schlüsselfertiges Eisenbahnsystem) geeignet.
-
Außerdem hat das erfindungsgemäße Verfahren den wesentlichen Vorteil, dass eine Anpassung der ermittelten Risiken - beispielsweise bei einer geänderten Risikolage - besonders einfach und mit vergleichsweise geringem Zeitaufwand vorgenommen werden kann. Dadurch wird der Aufwand, aller Risikoanalysen auf aktuellem Stand zu halten, verringert.
-
Schließlich wird die Risikoermittlung durch die erfindungsgemäße Lösung konkretisiert und standardisiert. Die Standardisierung ergibt sich zwingend, da die definierte Hierarchie ohne eine Standardisierung nicht implementiert werden kann.
-
Das Management von Risiken umfasst vorzugsweise das Erfassen, Bewerten, Aggregieren, Mitigieren und Kontrollieren des Risikos des technischen Systems.
-
Die Formulierung, wonach die Teileinrichtung einen Teil der technischen Einrichtung bildet, bedeutet beispielsweise, dass die technische Einrichtung aus mehreren dieser Teileinrichtungen besteht. Die technische Einrichtung umfasst vorzugsweise mehrere Subsysteme als Teileinrichtungen. Das jeweilige Subsystem umfasst vorzugsweise mehrere für den Einsatz angepasste Komponenten, die jeweils auf einer generischen Komponente basieren.
-
Die Risikoinformation ist vorzugsweise eine Restrisikoinformation, welche ein für die technische Einrichtung ermitteltes Restrisiko repräsentiert. Der Begriff „Restrisiko“ ist vorzugsweise als das Risiko zu verstehen, welches nach der Implementierung von Gegenmaßnahmen vorliegt. Dabei ist zu berücksichtigen, dass das Restrisiko sich bei geänderter Gefahren- bzw. Bedrohungslage ändern kann. So können Risiken, die nach einer Implementierung von Gegenmaßnahmen kein Restrisiko sind, nach einer Änderung der Bedrohungslage Teil des Restrisikos werden. Das Restrisiko wird im Rahmen des Risikomanagements insbesondere dann als solches bezeichnet und gehandhabt, wenn es ein vordefiniertes Risikoniveau übersteigt. Das Risikoniveau repräsentiert das als akzeptabel definierte Risiko.
-
Vorzugsweise wird für die jeweilige Teileinrichtung eine Risikoinformation ermittelt, welche ein für eine Teileinrichtung ermitteltes Risiko repräsentiert und bei der Ermittlung der Risikoinformation für die technische Einrichtung eingeht.
-
Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens werden die ermittelten Risikoinformationen einer Recheneinrichtung zugeführt. Die Recheneinrichtung dient dem Risikomanagement eines Unternehmens, durch das die technischen Einrichtungen gehandhabt werden.
-
Mit anderen Worten: Die Risikoinformationen werden dem Risikomanagement des Unternehmens zugeführt, welches die technischen Einrichtungen handhabt. Dieses Risikomanagement wird beispielsweise anhand eines Computerprogramms durchgeführt, welches mittels der Recheneinrichtung ausgeführt wird. In diesem Sinne dient die Recheneinrichtung dem Risikomanagement des Unternehmens.
-
Das Computerprogramm ist beispielsweise ein datenbankbasiertes Tool.
-
Der Begriff „Risikomanagement eines Unternehmens“ oder „Management von Unternehmensrisiken“ wird fachmännisch häufig als Enterprise Risk Management bezeichnet.
-
Der Fachmann versteht die Formulierung „Unternehmen, durch das die technische Einrichtung gehandhabt wird“ beispielsweise als ein Unternehmen, welches Hersteller der technischen Einrichtung, Betreiber der technischen Einrichtung, Verleiher der technischen Einrichtung, Lieferant einer Komponente der technischen Einrichtung, etc. ist. Mit anderen Worten: Der Begriff „Handhaben“ ist im Rahmen der vorliegenden Erfindung vorzugsweise als Herstellen, Anbieten, Betreiben, Verleihen, Liefern, etc. zu verstehen.
-
Beispiele für Unternehmen dieser Art sind Betreiber von Schienenfahrzeugen zur Personenbeförderung, Betreiber kritischer Infrastrukturen, Energieversorger, Telekommunikationsanbieter, Finanzanbieter, etc. Diese Betreiber sind ein Beispiel für Asset Owner, die die Verantwortung für das Risikomanagement tragen. So muss dieser die verschiedenen Artefakte der Lieferkette zu einem Gesamtkonstrukt integrieren. Das Ausführungsbeispiel löst dieses Problem.
-
Vorzugsweise basieren die ermittelten Risikoinformationen auf einer einheitlichen Ermittlung, beispielsweise auf einer einheitlichen Messmethode, damit diese beim Risikomanagement des Unternehmens einfach verglichen werden können.
-
Diese Ausführungsform beruht auf der Erkenntnis, dass Unternehmen, die mehrere technische Einrichtungen handhaben, eine Lösung benötigen, welche sämtliche Risiken des Unternehmens verwaltet. D.h. es ist wünschenswert, sämtliche Risiken, die sich aus den mehreren technischen Einrichtungen ergeben, in einer Sicht auf das Risikomanagement für die Geschäftsleitung zu integrieren, um einen Überblick zu erhalten, wie verwundbar das gesamte Unternehmen ist.
-
Durch diese Möglichkeit zur Verwaltung sämtlicher Risiken auf Unternehmensebene, können gesetzliche Verpflichtungen erfüllt werden. Beispiele für gesetzliche Verpflichtungen dieser Art sind das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) und der EU Cybersecurity Act.
-
Bei einer weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens ist das Management von Risiken ein Management von informationstechnischen Risiken. Mit anderen Worten: Bei dem Erfassen und Bewerten von Risiken werden vorzugsweise Risiken erfasst und bewertet, welche die informationstechnische Sicherheit des Systems betreffen. Insbesondere ist die informationstechnische Sicherheit als sogenannte Cyber-Security zu verstehen, welche die Sicherheit des Systems vor unerlaubtem Zugang, Zugriff oder Angriff betrifft.
-
Das erfindungsgemäße Verfahren ist besonders für das Management von informationstechnischen Risiken geeignet, da sich Risiken dieser Art automatisiert erfassen, quantifizieren und bewerten lassen. So können diese Risiken in der erfindungsgemäßen Hierarchie besonders aufwandsarm verwaltete (gemanagt) werden.
-
Zudem hat das Management von informationstechnischen Risiken einen unmittelbaren Einfluss auf die technische Ausgestaltung des technischen Systems. Wird als Maßnahme zum Senken des Risikos beispielsweise ein Port einer Netzwerkkomponente (z.B. eines Switches) des Systems geschlossen, wirkt sich dies auf die technische Ausgestaltung des technischen Systems aus.
-
Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens ist wenigstens eine Einrichtung der mehreren technischen Einrichtungen ein spurgebundenes Fahrzeug. Die Teileinrichtung ist ein Subsystem des spurgebundenen Fahrzeugs.
-
Das spurgebundene Fahrzeug ist vorzugsweise ein Schienenfahrzeug, beispielsweise ein Hochgeschwindigkeitszug des öffentlich Personenfernverkehrs, eine Stadtbahn, eine Straßenbahn oder eine U-Bahn des öffentlichen Personennahverkehrs.
-
Das erfindungsgemäße Verfahren ist besonders für die Anwendung bei spurgebundenen Fahrzeugen geeignet. Denn Hersteller und Betreiber einer Flotte von mehreren Fahrzeugen stehen vor dem Problem, das Risikomanagement geeignet zu handhaben. Insbesondere die Komplexität des technischen Systems, bestehend aus mehreren Fahrzeugen, macht die Anwendung des erfindungsgemäßen Verfahrens besonders wünschenswert.
-
Bei einer weiteren Weiterbildung der Ausführungsform ist ein Element der Teileinrichtung eine für den Einsatz in dem Subsystem angepasste Komponente, die auf einer generischen Komponente basiert.
-
Die generische Komponente ist vorzugsweise eine Komponente, die von einem Lieferanten (Zulieferer) bereitgestellt wird und von dem Unternehmen, das die technischen Einrichtungen handhabt, für die eigenen Zwecke, beispielsweise bei der Herstellung der technischen Einrichtung, angepasst wird.
-
Beispielsweise ist die generische Komponente eine sogenannte COTS (COTS: Component off-the-shelf).
-
Die Erfindung betrifft ferner ein Computerprogrammprodukt, umfassend Befehle, die bei der Ausführung des Programms durch eine Recheneinrichtung diese veranlassen, das Verfahren der vorstehend beschriebenen Art auszuführen.
-
Die Erfindung betrifft ferner eine Bereitstellungsvorrichtung für das Computerprogrammprodukt der vorstehend beschriebenen Art, wobei die Bereitstellungsvorrichtung das Computerprogrammprodukt speichert und/oder bereitstellt. Die Bereitstellungsvorrichtung ist beispielsweise eine Speichereinheit, die das Computerprogrammprodukt speichert und/oder bereitstellt. Alternativ und/oder zusätzlich ist die Bereitstellungsvorrichtung beispielsweise ein Netzwerkdienst, ein Computersystem, ein Serversystem, insbesondere ein verteiltes, beispielsweise cloudbasiertes Computersystem und/oder virtuelles Rechnersystem, welches das Computerprogrammprodukt vorzugsweise in Form eines Datenstroms speichert und/oder bereitstellt.
-
Die Bereitstellung erfolgt in Form eines Programmdatenblocks als Datei, insbesondere als Downloaddatei, oder als Datenstrom, insbesondere als Downloaddatenstrom, des Computerprogramms. Diese Bereitstellung kann beispielsweise aber auch als partieller Download erfolgen, der aus mehreren Teilen besteht. Ein solches Computerprogramm wird beispielsweise unter Verwendung der Bereitstellungsvorrichtung in ein System eingelesen, sodass das erfindungsgemäße Verfahren auf einem Computer zur Ausführung gebracht wird.
-
Das Computerprogramm ist vorzugsweise eingerichtet, die bei der Ausführung entstehenden Daten sicher (im Sinne von Security) zu verwalten.
-
Die Erfindung betrifft ferner eine Vorrichtung zum Management von Risiken eines technischen Systems, welches mehrere technische Einrichtungen aufweist. Die Vorrichtung umfasst eine Recheneinrichtung, welche eingerichtet ist, für die mehreren technischen Einrichtungen eine jeweilige Risikoinformation, welche ein für eine technische Einrichtung ermitteltes Risiko repräsentiert, zu ermitteln. Die Vorrichtung umfasst ferner eine Aggregationseinrichtung, welche eingerichtet ist, die ermittelten Risikoinformationen für eine Bewertung des Gesamtrisikos des Systems zu aggregieren. Die Risikoinformation ist anhand einer Hierarchie ermittelbar, bei der wenigstens eine Teileinrichtung, welche einen Teil der technischen Einrichtung bildet, in einer Hierarchieebene liegt, die einer Hierarchieebene der technischen Einrichtung untergeordnet ist.
-
Zu Vorteilen, Ausführungsformen und Ausgestaltungsdetails des erfindungsgemäßen Computerprogrammprodukts, der erfindungsgemäßen Bereitstellungsvorrichtung und der erfindungsgemäßen Vorrichtung kann auf die vorstehende Beschreibung zu den entsprechenden Merkmalen des erfindungsgemäßen Verfahrens verwiesen werden.
-
Ein Ausführungsbeispiel der Erfindung wird anhand der Zeichnungen erläutert. Es zeigen:
- 1 schematisch den Aufbau eines Ausführungsbeispiels einer erfindungsgemäßen Vorrichtung zum Risikomanagement eines technischen Systems, welches mehrere technische Einrichtungen umfasst, und
- 2 schematisch den Ablauf eines Ausführungsbeispiels des erfindungsgemäßen Verfahrens.
-
1 zeigt eine schematische Darstellung eines technischen Systems 1, welches mehrere technische Einrichtungen 3, 5 und 7 umfasst. Eine Vorrichtung 2 dient zum Management von informationstechnischen Risiken des technischen System 1.
-
1 zeigt insbesondere drei technische Einrichtungen 3, 5 und 7. Die erfindungsgemäße Lösung lässt sich jedoch sinnfällig auf ein System mit mehr als drei technischen Einrichtungen anwenden und ist in dieser Hinsicht skalierbar.
-
Die technische Einrichtung 3, 5 bzw. 7 ist ein spurgebundenes Fahrzeug 9, 11 bzw. 13, insbesondere ein Schienenfahrzeug.
-
Jedes spurgebundene Fahrzeug 9, 11 bzw. 13 weist mehrere Subsysteme 15, 17 bzw. 19 auf. Beispiele für Subsysteme dieser Art sind das Antriebssystem, Bremssystem, Türen, Klimaanlage, Fahrgastinformationssystem, etc. Das jeweilige Subsystem 15, 17 bzw. 19 umfasst mehrere für den Einsatz des Subsystems 15, 17 bzw. 19 angepasste Komponenten 21, 23 bzw. 25. Beispiele für Komponenten dieser Art sind: ein Sensor eines Türsteuersystems, eine Anzeige eines Fahrgastinformationssystems, etc.
-
Die angepassten Komponenten 21, 23 bzw. 25 basieren auf generischen Komponenten 27, 29 bzw. 31, beispielsweise sogenannten COTSs (COTS: Components off-the-shelf).
-
Die Darstellung des Systems 1 durch mehrere Pyramiden, die jeweils mehrere Hierarchieebenen aufweisen, verdeutlicht die Hierarchie 20, auf der das erfindungsgemäße Verfahren basiert: In einer ersten Hierarchieebene 33 liegen die generischen Komponenten 27, 29 und 31. In einer zweiten Hierarchieebene 35 liegen die angepassten Komponenten 21, 23 und 25. In einer dritten Hierarchieebene 37 liegen die Subsysteme 15, 17 und 19. In einer vierten Hierarchieebene 39 liegen die technischen Einrichtungen 3, 5 und 7. Eine fünfte Hierarchieebene 41 stellt das Unternehmen 43 dar, durch das die technische Einrichtungen 3, 5 und 7 gehandhabt wird.
-
2 zeigt schematisch die Schritte des erfindungsgemäßen Verfahrens als Ablaufdiagramm.
-
In einem ersten Verfahrensschritt A werden Risikoinformationen RG, welche das Risiko der generischen Komponenten 27, 29 und 31 repräsentieren, durch einen Lieferanten dieser Komponenten bereitgestellt. Insbesondere wird die Risikoinformation RG durch eine Recheneinrichtung 22 des Lieferanten bereitgestellt und an eine Recheneinrichtung 24 des Unternehmens 43 übertragen. Beispielsweise wird den Lieferanten des Unternehmens 43 eine standardisierte Schnittstelle zur Eingabe der Restrisikoinformation RS zur Verfügung gestellt.
-
In einem Verfahrensschritt B werden Restrisikoinformationen RA, welche das Restrisiko der angepassten Komponenten 21, 23, 25 repräsentieren, mittels der Recheneinrichtung 24 ermittelt. Bei der Ermittlung B gehen die Risikoinformationen RG ein. Die Restrisikoinformationen RA werden an eine Recheneinrichtung 26 übertragen.
-
In einem Verfahrensschritt C werden Restrisikoinformationen RS, welche das Risiko der Subsysteme 15, 17 und 19 repräsentieren, mittels der Recheneinrichtung 26, ermittelt. Bei der Ermittlung findet unter anderem eine Aggregation der Restrisikoinformationen RA statt. Die Restrisikoinformationen RS werden an eine Recheneinrichtung 28 übertragen.
-
In einem Verfahrensschritt D werden Restrisikoinformationen RE, welche das für die technischen Einrichtungen 3, 5 und 7 ermittelte Restrisiko repräsentieren, mittels der Recheneinrichtung 28 ermittelt. Bei der Ermittlung findet unter anderem eine Aggregation der Restrisikoinformationen RS statt.
-
Die beschrieben Verfahrensschritt A bis D verdeutlichen die Hierarchie 20, auf der die Ermittlung der Restrisikoinformationen RE basiert.
-
In einem Verfahrensschritt E werden die Restrisikoinformationen RE einer Recheneinrichtung 30 zugeführt, welche dem Risikomanagement des Unternehmens 43 dient. Die Recheneinrichtung 30 ist eingerichtet, ein datenbankbasiertes Tool auszuführen, um das Risikomanagement anhand des Tools durchzuführen.
-
Die beschriebenen Recheneinrichtungen 22, 24, 26, 28 und 30 sind Teil der erfindungsgemäßen Vorrichtung 2. Die beschriebenen Recheneinrichtungen 22, 24, 26, 28 und 30 können getrennte Recheneinrichtungen, beispielsweise jeweils ein Desktopcomputer sein. Die getrennten Recheneinrichtungen können über ein Kommunikationsnetz datentechnische miteinander verbunden sein. Alternativ ist ein Teil oder sämtliche dieser Recheneinrichtungen 22, 24, 26, 28 und 39 als eine gemeinsame Recheneinrichtung, beispielsweise als Server, ausgeführt.
-
Das beschriebene Verfahren kann in Teilen ausgeführt werden. Eine Teilausführung ist beispielsweise sinnvoll, wenn eine Änderung eines Subsystems vorgenommen wird. In diesem Fall ermittelt die Recheneinrichtung 26 auf Basis des geänderten Subsystems erneut die Restrisikoinformation RS. Dies führt zu einer neuen Ermittlung der Restrisikoinformationen RE, was zu Änderungswünschen (sogenannter Change Request) an dem spurgebundenen Fahrzeug 9, 11 und/oder 13 führen kann.
-
Die ermittelten Restrisikoinformationen RA, RS und RE werden insbesondere dann beim Risikomanagement als solche identifiziert und gehandhabt, wenn diese ein vordefiniertes Risikoniveau übersteigen. Das Risikoniveau repräsentiert dabei ein als akzeptabel definiertes Risiko.
-
Obwohl die Erfindung im Detail durch das bevorzugte Ausführungsbeispiel näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
