Software ohne Sicherheitslücken: Was die ISO/IEC 24772-1 bringt
Die ISO/IEC 24772-1 bietet Entwicklern und technischen Managern eine wertvolle Ressource für die sichere Softwareentwicklung, indem sie typische Schwachstellen in Programmiersprachen beschreibt und sprachunabhängige Vermeidungsstrategien bereitstellt. Ursprünglich als Technischer Bericht veröffentlicht und nun als internationale Norm anerkannt, stellt die Norm ein praktisches Werkzeug dar, das Unternehmen hilft, ihre Software sicherer und konformer zu gestalten.
Inhalt
Bedeutung des Übergangs vom TR zur internationalen Norm
Die ISO/IEC 24772-1 entstand ursprünglich als Technischer Report (TR) und wurde im Oktober 2024 zur internationalen Norm. Diese Umwandlung bedeutet mehr als nur eine formale Änderung, denn internationale Normen zeichnen sich durch eine breite globale Anerkennung und Einigung unter Fachleuten aus. Eine solche Norm bietet Unternehmen in sicherheitskritischen Branchen und regulierten Umgebungen eine verlässliche Grundlage, die Akzeptanz und Umsetzbarkeit erleichtert.
Aufbau und Inhalte der ISO/IEC 24772-1
Die ISO/IEC 24772-1 beschreibt Schwachstellen, die in verschiedenen Programmiersprachen auftreten können, und bietet dazu sprachunabhängige Vermeidungsansätze. Jede Schwachstelle wird detailliert erklärt, von den typischen Fehlerquellen bis hin zu möglichen Risiken und der Vermeidung dieser Fehler. Die Norm deckt unter anderem folgende sicherheitsrelevante Themen ab:
- Speicherverwaltung: Risikofaktoren wie falsche Speicherzuweisungen und -freigaben, die häufig zu Sicherheitslücken führen.
- Kontrollfluss und Nebenläufigkeit: Schwachstellen im Kontrollfluss und bei der parallelen Verarbeitung, die speziell für sicherheitskritische Anwendungen riskant sind.
- Typische Schwachstellen und Vermeidungsansätze: Praktische Maßnahmen zur Risikominderung, die für viele Programmiersprachen relevant sind.
Diese strukturierte Herangehensweise bietet Entwicklern ein hilfreiches Werkzeug zur systematischen Vermeidung sicherheitskritischer Schwachstellen und dient als solide Grundlage für eine sichere Softwareentwicklung.
Nutzen der ISO/IEC 24772-1 für Unternehmen
Die ISO/IEC 24772-1 ist vielseitig einsetzbar und richtet sich an unterschiedliche Zielgruppen, die durch die systematische Identifikation und Minimierung von Schwachstellen in der Programmierung in ihren jeweiligen Aufgaben unterstützt werden können:
- Entwickler: Programmierer, die mit den Schwachstellen einer bestimmten Programmiersprache vertraut sind, finden in der ISO/IEC 24772-1 allgemeine Beschreibungen dieser Schwachstellen und erfahren, wie sie in weniger vertrauten Sprachen auftreten können. Die sprachunabhängige Darstellung der Schwachstellen bietet eine solide Grundlage, um sicherheitsrelevante Fehler in verschiedenen Projekten zu vermeiden.
- Tool-Anbieter: Anbieter von Entwicklungs- und Analysetools können spezifische Schwachstellen aus der Norm auswählen und diese in ihre Produkte integrieren. Die ISO/IEC 24772-1 liefert detaillierte Beschreibungen, die Analysetools gezielt bei der Identifikation und Vermeidung von Schwachstellen unterstützen können.
- Organisationen, die eigene Codierungsstandards entwickeln: Unternehmen, die eigene Codierungsrichtlinien für die Sicherheit ihrer Softwareprodukte entwickeln, finden in der Norm eine nützliche Unterstützung bei der Identifikation relevanter Schwachstellen. Die ISO/IEC 24772-1 dient als Orientierungshilfe bei der Auswahl und Durchsetzung geeigneter Codierungsrichtlinien und Sicherheitsstandards.
Nutzen für die IEC 62443-4-1 Zertifizierung
Die Anforderung SI-2 „Sichere Codierungsstandards“ aus IEC 62443-4-1 legt fest, dass Unternehmen sichere Codierungsstandards nutzen sollen, um Schwachstellen in ihren Produkten zu minimieren. Die ISO/IEC 24772-1 ist dabei eine wertvolle Hilfe bei der Erfüllung dieser Anforderung. Obwohl die Norm selbst kein Codierungsstandard ist, unterstützt sie Organisationen durch eine umfassende Darstellung von Schwachstellen und Vermeidungsansätzen. Sie verweist auch auf andere Codierungsstandards, wodurch Unternehmen eine praktische Anleitung für die Auswahl und Anwendung sicherer Praktiken erhalten.
ISO/IEC 24772-1 als praxisorientierter Leitfaden
Die ISO/IEC 24772-1 ist ein vielseitiger Leitfaden, der sicherheitskritische Softwareentwicklungsprojekte unterstützt. Ohne feste Codierungsregeln vorzugeben, bietet die Norm eine sprachübergreifende Beschreibung typischer Schwachstellen und Vermeidungsstrategien. Sie eignet sich insbesondere für Unternehmen, die eine Konformität zur IEC 62443-4-1 anstreben und stärkt die sichere Produktentwicklung durch praxisnahe Empfehlungen und Orientierungshilfen.
