Das Security Protection Rating wird aus dem Security Level – Achieved (SL-A) und dem Maturity Level (ML) gebildet. Es spiegelt die Endergebnisse der organisatorischen und technischen Maßnahmen wider. Sein Zweck besteht darin, anzuzeigen, ob ein System mit dem gewünschten Security Level – Target (SL-T) betrieben werden kann.
Ausgangsgrößen
Das Security Level – Achieved (SL-A) beschreibt das erreichte Security Level eines Systems.
Der Maturity Level (ML) beschreibt den organisatorischen Reifegrad.
Das Security Level – Target (SL-T) ist das Zielniveau, das erreicht werden soll.
Das Security Protection Rating verbindet damit das erreichte technische Schutzniveau mit dem organisatorischen Reifegrad.
Bedeutung der Stufen
SPR 1 bedeutet Schutz vor zufälligen oder unbeabsichtigten Angriffen.
SPR 2 bedeutet Schutz vor absichtlichen Versuchen mit einfachen Mitteln.
SPR 3 bedeutet Schutz vor absichtlichen Versuchen mit ausgefeilten Mitteln.
SPR 4 bedeutet Schutz vor absichtlichen Versuchen mit ausgefeilten Mitteln und erweiterten Ressourcen.
Diese Stufen entsprechen in ihrer Schutzwirkung den abgestuften Anforderungen an technische und organisatorische Maßnahmen.
Bedingungen für das SPR
Für das Security Protection Rating gelten mehrere Bedingungen:
- SPR wird aus SL-A und ML gebildet.
- Es muss mindestens ein Reifegrad von ML 1 erreicht werden.
- SPR 0 ist theoretisch ein ungültiges Ergebnis und vergleichbar mit SL 0.
- SPR ≤ SL-A.
- SPR kann um 1 höher sein als das Maturity Level.
Für das Zielniveau gilt zusätzlich:
- SL-T wird in der Risikoanalyse ermittelt.
- Für den Zielzustand muss gelten: SPR ≥ SL-T.
Zusammenhang zwischen SL-A, ML und SPR
Die Kombination aus erreichtem Security Level und organisatorischem Reifegrad ergibt das Security Protection Rating:
Daraus folgt, dass ein hohes erreichtes technisches Security Level allein nicht ausreicht, wenn der organisatorische Reifegrad zu niedrig ist.
Bezug zum Zielniveau
Für die Zielniveaus ergibt sich folgende Mindestanforderung:
- Für SL 1-T genügt SPR 1, SPR 2, SPR 3 oder SPR 4.
- Für SL 2-T genügt SPR 2, SPR 3 oder SPR 4.
- Für SL 3-T genügt SPR 3 oder SPR 4.
- Für SL 4-T genügt nur SPR 4.
Das Security Protection Rating ist damit die Größe, mit der geprüft wird, ob das in der Risikoanalyse festgelegte Zielniveau tatsächlich getragen wird.
Beispiel
Wenn der Integrator ein SL-A = 3 erreicht und der Asset Owner nur einen Maturity Level = ML 1 aufweist, ergibt sich daraus SPR 1.
Wenn das Zielniveau SL-T = 2 ist, reicht diese Kombination nicht aus, weil SPR 1 kleiner ist als SL-T = 2. Das System kann in dieser Konstellation also nicht mit dem gewünschten Zielniveau betrieben werden.