Itemis SECURE
# Itemis SECURE

itemis SECURE ist eine Sicherheitsanalyse-Software, die von der itemis AG entwickelt und vertrieben wird. Sie soll dazu beitragen, die Sicherheit von Software- und Hardware-Systemen zu erhöhen, indem sie Schwachstellen identifiziert und geeignete Maßnahmen zur Behebung vorschlägt.

Mit Hilfe von Sicherheitsrisikobewertungen (SRAs) werden potenzielle Risiken identifiziert und analysiert, um den Bedarf an Schutzmaßnahmen aufzuzeigen. Dabei werden Bedrohungen und Risiken für ein System, Netzwerk oder eine Organisation ermittelt, bewertet und bewältigt (Threat Analysis and Risk Assessment, kurz TARA).

itemis SECURE unterstützt den gesamten TARA-Prozess und umfasst Systemmodellierung, Bedrohungsanalyse und Visualisierung der Ergebnisse.

Die Anwendung bietet eine Vielzahl von Analysemethoden und Werkzeugen, die Entwicklern und Sicherheitsexperten ermöglichen, die Sicherheitsrisiken ihrer Projekte effektiv zu bewerten und zu reduzieren. Durch die Nutzung dieser Methoden und Werkzeuge können Schwachstellen frühzeitig erkannt und geeignete Maßnahmen zur Behebung ergriffen werden.

## Funktionsumfang

itemis SECURE bietet laut Benutzerhandbuch Funktionen, um die Sicherheit von Software- und Hardware-Systemen zu analysieren und zu bewerten. Dies folgt dem Ansatz „Security by Design“. itemis SECURE bietet dazu verschiedene konkrete Syntaxen, um mit Instanzen des Metamodells zu arbeiten.

### Schadensanalyse

Die Software unterstützt die Bewertung potentieller Schwachstellen in den Systemen, indem sie die Abhängigkeit von Elementen und Funktionen eines technischen Systems dokumentiert und Nutzer in die Lage versetzt, Schadensszenarien zu identifizieren. Gefundene Schadensszenarien werden kategorisiert und priorisiert, um den Entwicklern die Möglichkeit zu geben, die wichtigsten Probleme über geeignete Gegenmaßnahmen zu beheben.

### Bedrohungsanalyse

itemis SECURE ermöglicht es Benutzern, Bedrohungsmodelle und Angriffsbäume für komplexe technische Systeme zu erstellen. Über Propagationsmodelle lassen sich daraus die Wahrscheinlichkeiten ermitteln, mit denen definierte Bedrohungsszenarien eintreten können.

### Risikobewertung

Auf Basis der Schadensanalyse und der Bedrohungsanalyse lassen sich für alle Komponenten und Funktionen technischer Systeme konkrete Risikowerte berechnen. Auf Basis dieser Risikobewertungen können Unternehmen entscheiden, ob sie die Risiken akzeptieren oder weitere Maßnahmen zu treffen sind, um die Risiken zu reduzieren.

### Definition von Gegenmaßnahmen

Eine mögliche Maßnahme zur Behandlung von Risiken ist die Anpassung des Systemdesigns durch die Einführung geeigneter Gegenmaßnahmen. Ein Beispiel hierfür ist die Verschlüsselung von Daten.

### Reporting

Die Software erstellt Berichte über die Sicherheitsanalyse. Diese Berichte helfen dabei, Entscheidungen über die Analyse und Behebung von Schwachstellen zu dokumentieren. Sie sind zugleich die Basis für Zertifizierungen und Zulassungsprozesse gegenüber Prüfstellen wie dem Kraftfahrt-Bundesamt (KBA).

### Compliance-Einhaltung

Die Software überprüft die Einhaltung von Sicherheitsstandards und Best Practices wie beispielsweise ISO/SAE 21434 oder IEC 62443. Dies erleichtert die Einhaltung von gesetzlichen Vorschriften und Branchenstandards. Die Software wird mit zunehmender Einsatzdauer immer leistungsfähiger, da sie eine große Datenbank mit Elementen, Komponenten, Bedrohungsszenarien, Risiken und Sicherheitskontrollen aufbaut. Diese Kataloge können für andere Systeme wiederverwendet werden, was die Einhaltung der ISO/SAE 21434 erleichtert.

### Datenaustauschformat openXSAM

Die native Unterstützung von XML-basiertem Datenexport und -import auf Basis von openXSAM ermöglicht den Austausch von TARA-Daten einschließlich frei verfügbarer Threat-Katalog-Daten der Automotive Security Research Group (ASRG).

## Anwendungsbereiche

itemis SECURE wird vorwiegend in der Automobilindustrie eingesetzt. Die Software hilft Automobilherstellern und Zulieferern, die Sicherheit ihrer Fahrzeugelektronik und -software zu verbessern, indem sie potenzielle Schwachstellen identifiziert und geeignete Gegenmaßnahmen vorschlägt.

Das grundlegende Funktionsprinzip von itemis SECURE ist über die Automobilindustrie hinaus auch in anderen Bereichen anwendbar in denen vergleichbare Aufgabenstellungen vorliegen.

## Historie

itemis SECURE wurde bis Anfang 2023 unter dem Namen YAKINDU Security Analyst vertrieben.

