Sikkerhed by design

Sikkerhed by design (security by design) er princippet om, at cybersikkerhed skal integreres i et produkt fra designfasen. I stedet for at tilføje sikkerhed som et lag ovenpå et færdigt produkt, bygges sikkerhedsforanstaltninger ind i arkitekturen fra starten. Princippet er et bindende krav i Cyber Resilience Act (CRA).

Tilbage til ordbog

Hvad er sikkerhed by design?

Sikkerhed by design er en tilgang, hvor sikkerhed behandles som et grundlæggende designkrav og ikke som en eftertanke. Idéen er enkel: det er billigere, mere effektivt og mere sikkert at bygge sikkerhed ind fra starten end at lappe huller bagefter.

Traditionelt har mange softwareproducenter udviklet funktionalitet først og derefter forsøgt at sikre produktet. Resultatet har været produkter med arkitektoniske svagheder, der er dyre eller umulige at rette uden at redesigne hele systemet. Sikkerhed by design vender den logik om.

Begrebet er tæt knyttet til "sikkerhed by default", som betyder, at produktet leveres i den mest sikre konfiguration uden at kræve handling fra brugeren. Tilsammen udgør de to principper fundamentet for CRA's tilgang til produktsikkerhed.

Lovkrav i CRA og GDPR

Cyber Resilience Act gør sikkerhed by design til et bindende krav for alle produkter med digitale elementer. CRA's bilag I specificerer, at produkter skal "designes, udvikles og produceres på en måde, der sikrer et passende cybersikkerhedsniveau baseret på risiciene."

Konkret kræver CRA, at fabrikanter:

Leverer produkter uden kendte, udnyttelige sårbarheder
Anvender sikker standardkonfiguration
Beskytter mod uautoriseret adgang med passende adgangskontrol
Beskytter data med kryptering eller tilsvarende mekanismer
Minimerer angrebsfladen
Sikrer, at produktet kan opdateres

GDPR stiller et tilsvarende krav i artikel 25 om "databeskyttelse through design og by default". Hvor GDPR fokuserer på persondata, fokuserer CRA bredere på cybersikkerhed. De to regelsæt supplerer hinanden, og virksomheder, der allerede arbejder med privacy by design, har et solidt udgangspunkt.

NIS2 forudsætter også sikkerhed by design i organisationers risikostyringsforanstaltninger, og DORA stiller tilsvarende krav til IKT-systemer i den finansielle sektor.

Centrale principper

Sikkerhed by design bygger på en række veletablerede principper, der tilsammen reducerer risikoen for sikkerhedshuller:

Mindste privilegium: Brugere og komponenter skal kun have de rettigheder, der er nødvendige for at udføre deres funktion. En komponent, der kun behøver at læse data, skal ikke have skriverettigheder.

Forsvar i dybden: Sikkerheden skal ikke afhænge af en enkelt kontrol. Flere uafhængige sikkerhedslag sikrer, at kompromittering af ét lag ikke fører til fuldstændig eksponering. Netværkssegmentering er et klassisk eksempel.

Minimering af angrebsfladen: Jo færre indgangspunkter et produkt eksponerer, jo færre muligheder har en angriber. Unødvendige porte, protokoller og funktioner skal deaktiveres som standard.

Sikker standardkonfiguration: Produktet skal være sikkert ud af boksen. Ingen standardadgangskoder, ingen åbne admin-grænseflader, ingen unødvendige tjenester aktiveret.

Fejl sikkert: Når noget går galt, skal systemet fejle i en sikker tilstand. En fejl i autentificeringen skal resultere i afvisning, ikke i adgang.

Disse principper er ikke nye. De er blevet beskrevet i årtier af sikkerhedsfagfolk. CRA's bidrag er at gøre dem til lovkrav med reelle sanktioner ved overtrædelse.

Implementering i praksis

At implementere sikkerhed by design kræver ændringer i hele udviklingsprocessen:

Trusselsmodellering: Start med at identificere, hvad der kan gå galt. Trusselsmodellering i designfasen afdækker potentielle angrebsvektorer, før den første linje kode er skrevet. Brug metoder som STRIDE eller PASTA til at strukturere analysen.

Sikkerhedskrav: Definér sikkerhedskrav som en del af kravspecifikationen. Det er ikke nok at sige "produktet skal være sikkert." Specificér konkrete krav til autentificering, kryptering, logning og fejlhåndtering.

Sikker kodepraksis: Anvend anbefalinger fra OWASP og lignende ressourcer. Gennemfør kodereviews med fokus på sikkerhed, og brug statiske analyseværktøjer til at fange typiske sårbarheder.

Test: Sikkerhedstest skal være en integreret del af testprocessen. Penetrationstest og sårbarhedsscanning supplerer funktionel test og sikrer, at sikkerhedskravene faktisk er opfyldt.

Opdateringsmekanisme: Design produktet, så det kan modtage sikkerhedsopdateringer i hele sin levetid. CRA kræver, at fabrikanter leverer opdateringer i mindst fem år.

Ofte stillede spørgsmål om sikkerhed by design

Hvad betyder sikkerhed by design?

Sikkerhed by design (security by design) betyder, at cybersikkerhed tænkes ind fra starten af et produkts udvikling. I stedet for at tilføje sikkerhedsforanstaltninger efter produktet er bygget, integreres sikkerhed i arkitektur, design og udviklingsprocesser fra dag ét.

Er sikkerhed by design et lovkrav?

Ja. Cyber Resilience Act (CRA) kræver, at produkter med digitale elementer designes og udvikles med sikkerhed som integreret del. GDPR stiller tilsvarende krav om databeskyttelse through design (artikel 25). NIS2 forudsætter også sikkerhed by design i organisationers risikostyring.

Hvad er forskellen på sikkerhed by design og sikkerhed by default?

Sikkerhed by design handler om at integrere sikkerhed i selve designprocessen. Sikkerhed by default handler om, at produktet leveres med den mest sikre konfiguration som standard, uden at brugeren skal foretage yderligere indstillinger. CRA kræver begge dele.

Hvilke konkrete krav stiller CRA til sikkerhed by design?

CRA kræver bl.a. minimering af angrebsfladen, sikker standardkonfiguration, kryptering af data, adgangskontrol, beskyttelse mod uautoriseret adgang, og at produktet leveres uden kendte udnyttelige sårbarheder. Produktet skal også kunne modtage sikkerhedsopdateringer.

Hvordan implementerer man sikkerhed by design i praksis?

Start med trusselsmodellering i designfasen. Definér sikkerhedskrav som en del af kravspecifikationen. Anvend sikre kodeprincipper, gennemfør kodereviews og sikkerhedstest løbende. Minimér angrebsfladen, implementér princippet om mindste privilegium, og sørg for sikker standardkonfiguration.