Common Criteria EAL4+ Zertifizierung für SDoT Security Gateway Cross Domain Solution

Früher setzte man auf die physische Trennung von geheimen Systemen und Daten in militärischen und behördlichen Hochsicherheitsbereichen. Dieser Ansatz steht einer konsequenten Prozessdigitalisierung (Ende zu Ende) in diesen Bereichen entgegen. Ohne den Einsatz von vertrauenswürdigen Hochsicherheitsprodukten mit einer CC EAL 4+ Zertifizierung sowie entsprechenden Zulassungen ist dies im öffentlichen Sektor sowie kritischen Infrastrukturen jedoch meist untersagt.

Die EAL4+ Zertifizierung nach dem ISO/IEC 15408 – Common Criteria Standard gemäß dem deutschen BSI Schema zählt zu den weltweit bedeutendsten Benchmarks für IT-Sicherheit. Nationale und internationale Kunden fordern immer häufiger einen verlässlichen Nachweis über Produkte, die höchste Sicherheitsbedarfe erfüllen müssen. Objektive und nachvollziehbare Evaluierungs- und Messkriterien werden in diesem Verfahren auf festgelegte Evidenzen angewendet. Die Anforderungen an die Prüftiefe einer IT-Sicherheitsevaluierung nach ISO/IEC 15408 Common Criteria werden durch die EAL-Stufen festgelegt. Der zu prüfende Umfang wird durch die ansteigenden EAL-Nummern angezeigt (Evaluation Assurance Level 1-7). Anders als bei den immer beliebter werdenden cPPs (Collaborative Protection Profiles), die sich mehrheitlich jedoch lediglich auf niedrigeren Anforderungen der Common Criteria stützen (EAL1/EAL2), hatte die INFODAS GmbH sich für die sehr hohen CC EAL4+ Anforderungen entschieden. Diese beinhalten auch Penetrationstests, intensive Schwachstellenanalysen und ausführliche Source Code Analysen durch unabhängige Sicherheitsexperten.

Seit September 2019 lief der intensive Zertifizierungsprozess für das SDoT Security Gateway in enger Absprache mit der unabhängigen und vom BSI akkreditierten Prüfstelle atsec information security GmbH und dem BSI. Die durch die INFODAS GmbH erbrachten Nachweise beziehen sich nicht nur auf die sichere und wohldefinierte Implementierung des Produkts und auf die umfangreiche, strukturierte und nachvollziehbare Produktdokumentation, sondern auch auf die gesamte Organisationsstruktur inklusive der für die sichere Entwicklung, Herstellung und Produktpflege relevanten Unternehmensprozesse. Die INFODAS GmbH profitierte dabei von den grundlegenden Erfahrungswerten der Zulassungsverfahren für GEHEIM, NATO SECRET und EU SECRET. Generell kann jedes Produkt einer CC Zertifizierung unterzogen werden. Die Zulassung eines Produkts einen erfordert einen behördlichen Bedarfsträger.

„Mit der CC EAL4+ Zertifizierung des SDoT Security Gateway erfüllen wir die Forderung zahlreicher Kunden und bauen auch unsere internationale Wettbewerbsfähigkeit weiter aus. Sie beweist die Leistung unseres Teams und zeigt, dass führende „zero trust security" Produkte aus Deutschland kommen können", so Dr. Alexander Koenen, Director Solutions, INFODAS GmbH. Hinsichtlich der Wahl für das deutsche Common Criteria BSI Schema führt Hanns Benigno Groeschke als langjähriger CC Expert der INFODAS GmbH aus: „Die vom BSI akkreditierten CC-Prüfstellen und ihre unabhängigen Sicherheitsexperten genießen weltweit die höchste Anerkennung dank ihrer besonders gewissenhaften und systematischen Anwendung der CC Prüfmethodologie. Das BSI stellt durch weitere Arbeitsschritte die Qualität sämtlicher Prüfberichte sicher."

Die SDoT-Familie enthält neben dem Security Gateway weitere Hochsicherheitsprodukte: Das SDoT Security Gateway Express, optimiert für den bidirektionalen, latenzarmen Austausch strukturierter Daten wie XML in echtzeitnahen Szenarien, verfügt ebenso wie die SDoT Diode für den unidirektionalen Datentransfer bis 9.1 Gbit/s bereits seit längerem über eine allgemeine Zulassung bis GEHEIM, NATO SECRET und EU SECRET. Der SDoT Labelling Service erlaubt den Umgang mit unstrukturierten Daten wie MS Office Dokumenten durch Datenklassifizierung mittels NATO STANAG 4774/8 konformer XML Security Labels die kryptographisch an die Daten gebunden werden – und das mit einer allgemeinen Zulassung bis GEHEIM. Medienbrüche und Drehstuhlschnittstellen gehören mit SDoT der Vergangenheit an. Die Produkte sind seit über 15 Jahren in sensitiven Umgebungen im Einsatz.