Startseite > Office & Kommunikation > Fundamente für M2M-Projekte

M2M-Plattformen

Fundamente für M2M-Projekte

27. Februar 2015, 12:43 Uhr | Judith Balfanz, VP Business Development bei Exceet Secure Solutions

Fortsetzung des Artikels von Teil 1

Key-Kriterium Verschlüsselung

Unabhängig von den Anforderungen des geplanten IT-Sicherheitsgesetzes ist das Thema Verschlüsselung eines der wesent-lichen Kriterien bei der M2M-Plattform-Auswahl. Hier liegt der Teufel im Detail und auf den ersten Blick ist häufig nicht genau zu erkennen, ob und in wie weit die M2M-Plattform hier eine ausreichende Sicherheit bietet. Der Kunde sollte prüfen, ob die Daten auf dem gesamten Transportweg, das heißt von der Erfassung durch den kundenspezifischen M2M-Router beziehungsweise das Gateway bis hin zur Übertragung in die kundeneigenen Systeme verschlüsselt werden. Nur dann ist ein umfassender Schutz vor Manipulationen der Daten durch unbefugte Dritte und das Mitlesen der sensiblen Kundendaten gewährleistet. Eine Verschlüsselung lediglich vom Carrier erfüllt diese Anforderung nicht und ist daher mit Vorsicht zu bewerten.

Unabhängig davon sollte geprüft werden, ob eine ausreichende Verschlüsselung von der Plattform alleine gewährleistet werden kann. Insbesondere bei internationalen M2M-Lösungen sind landesspezifische, zum Teil auch wechselnde und daher nicht kalkulierbare Gegebenheiten bezüglich der Übertragungssicherheit zu beachten – man denke an China, Iran, Irak, Vereinigte Arabische Emirate, et cetera. So kann es in diesen Ländern vorkommen, dass die Nutzung von VPN-Tunneln (Virtual Private Network) nicht möglich ist. Aufgrund der politischen Gegebenheiten kann leider keine statische Länderliste erstellen werden. Wichtig für den Anwender ist es, diese Risiken zu kennen, zu bewerten und bei Bedarf alternative Lösungen zu üblichen VPN-Tunneln zu verwenden. Derartige Ergänzungen bieten aktuell die wenigsten am Markt verfügbaren M2M-Plattformen standardmäßig an.

Unternehmen, die internationale M2M-Projekte planen, sollten daher ergänzend zur Plattform über eine kundenspezifische PKI (Public-Key-Infrastruktur) nachdenken. Diese bietet nach derzeitigem Stand der Technik höchste Sicherheit in Punkto Verschlüsselung und gewährleistet, dass die gesammelten Daten effizient vor unbefugten Zugriffen und Manipulationen geschützt werden. Zusätzlich sollte bei allen Lösungen kritisch nachgefasst werden, ob die Daten lediglich auf dem Transportweg verschlüsselt sind oder auch verschlüsselt in der Plattform gespeichert werden.

Rollenkonzepte und Mandantenfähigkeit

Eng verknüpft mit dem Thema IT-Security sind die Abbildung von Rollenkonzepten und das Thema Mandantenfähigkeit. Hierarchische, organisatorische und funktio-nale Gruppierungen auf Device-Ebene ermöglichen zum Beispiel die Auswahl von Geräten mit bestimmten Eigenschaften. Für auf diese Weise ausgewählte Geräte können dann bestimmte Anpassungen, beispielsweise Konfigurationsanpassungen, remote vorgenommen werden.

Gruppierungen auf Benutzerebene bilden organisatorische und funktionale Rollen im Unternehmen ab. Sie ermöglichen unter anderem die Steuerung einzelner Devices durch dedizierte Mitarbeiter. Ebenso kann hierüber der Zugriff auf bestimmte, gesammelte Daten für ausgewählte Mitarbeiter freigegeben werden. Auf diese Weise kann ein Rechtemanagement umgesetzt werden, welches wiederum zur Abbildung von Unternehmensstrukturen dient.

Für große Konzerne – und Unternehmen die M2M-Plattformen als Service bereitstellen möchten – empfiehlt sich darüber hinaus eine mandantenfähige Plattform. Sie ermöglichen die Abgrenzung bestimmter Funktionsbereiche. So können einzelne Kundengruppen vollständig isoliert und die über sie gewonnen Daten abgegrenzt und in ERP-Systemen verarbeitet werden. Plattformerweiterungen sind dabei zumeist mandantenabhängig implementierbar. Dies ist zum einen von Vorteil, auf
der anderen Seite jedoch mit höherem Wartungsaufwand verbunden. Die Mandantenfähigkeit ist daher ein wesentliches Kriterium für größere M2M-Projekte, Konzerne und Service-Anbieter.

Zertifizierungen, Richtlinien, Normen

Nicht für jedes, aber für einen Großteil der Unternehmen die M2M-Projekte durchführen, ist das Kriterium der Zertifizierungen relevant. Da mittels der M2M-Lösung zumeist sensible und zum Teil personenbezogene Daten gesammelt werden, kann beziehungsweise muss auch über Zertifizierungen der Nachweis erbracht werden: dass zum Beispiel die Anforderungen des Datenschutzes und der Datensicherheit erfüllt sind. Grundlegende Frage hier, und damit Kriterium für die Plattform-Auswahl, ist die nach einem Sicherheitskonzept. Bietet der Plattform-Anbieter bereits etwas an, kann der Anwender darauf aufbauen – beispielsweise für eigene Zertifizierungen (ISO 27001) oder im Rahmen eines ISMS (Information-Security-Management-System) – und eigene Aufwände reduzieren.

Je nach Industriezweig des Anwenders kann ein zusätzliches Plattform-Auswahlkriterium sein, ob branchenspezifische Anforderungen, Richtlinien und Normen – wie die im medizinischen Bereich von der FDA etablierten Richtlinien – von der Plattform standardmäßig unterstützt werden.