SMA Incident Response Prozesse

Die adäquate Reaktion auf Schwachstellenmeldungen und Vorfälle erfordert definierte und gelebte Prozesse und eine Vielzahl von Maßnahmen.

SMA hat folgende Prozesse implementiert:

Gesonderte, aber gemeinsam abgestimmte Prozesse:
- CSIR (Computer Security Incident Response) gemäß ISO 27001 und
- PSIR (Product Security Incident Response) gemäß dem Secure Product Development Life Cycle (SDLC) von SMA basierend auf der IEC 62443-4-1
Beide Prozesse enthalten detaillierte Flussdiagramme und Maßnahmen für alle Prozessschritte
Die Koordination und Steuerung erfolgt über ein Ticketsystem
Arbeitstägliche Abstimmungsmeetings für neue Schwachstellen und Vorfälle
Monatliche Meetings zum Status der Prozessimplementierung und zur Kontrolle der Prozess-KPIs
Product Vulnerabilities and Incidents: Bereitstellung von Reportings und Advisories über CERT@VDE (certvde.com)
- bei gemeldeten Schwachstellen nach Verfügbarkeit eines Software-Updates oder anderer Entschärfungsmaßnahmen sowie
- bei Vorfällen, die auf aktiv ausgenutzten Schwachstellen in SMA Produkten und digitalen Services beruhen, innerhalb von 72 Stunden

Zu den von SMA umgesetzten Maßnahmen gehören unter anderem:

Etablierung von IT- und Cyber-Security-Expertenteams (Enterprise IT-Security, Product Cyber Security, Data Protection, IT-Department, Vertreter des SMA SOC)
Einrichtung eines 24/7 Security Operation Center (SOC)
Benennung eines zentralen Ansprechpartners für alle Schwachstellen- und Störungsmeldungen
Bereitstellung eines funktionsfähigen Postfachs für alle Schwachstellen- und Störungsmeldungen (information-security@sma.de)
Website mit Informationen zum Responsible Disclosure Prozess, Kontaktmöglichkeit für Melder von Schwachstellen und Vorfällen sowie Auflistung von Sicherheitsberichten und -hinweisen (www.sma.de/cybersicherheit)
Mitgliedschaft im CERT@VDE (certvde.com), eine Industrie-Organisation, die die Mitglieder im Incident Response Prozess unterstützt, unter anderem indem sie die Kommunikation mit Meldern übernimmt sowie Advisories erstellt und CVEs beantragt

Status: 2024