{"id":2872222,"date":"2021-02-04T09:00:00","date_gmt":"2021-02-04T08:00:00","guid":{"rendered":"https:\/\/www.johner-institut.de\/blog\/?p=2872222"},"modified":"2024-06-25T08:38:26","modified_gmt":"2024-06-25T06:38:26","slug":"cvss-common-vulnerability-scoring-system","status":"publish","type":"post","link":"https:\/\/www.johner-institut.de\/blog\/iec-62304-medizinische-software\/cvss-common-vulnerability-scoring-system\/","title":{"rendered":"CVSS Common Vulnerability Scoring System"},"content":{"rendered":"\n

Das Common Vulnerability Scoring System CVSS<\/strong> dient in der IT Security<\/strong> nicht nur der Klassifizierung des Schweregrads von Software-Schwachstellen. Dieses CVSS-Framework wird auch genutzt, um diese Schwachstellen zu charakterisieren und einheitlich zu einzusch\u00e4tzen.<\/p>\n\n\n\n

Lernen Sie dieses Common Vulnerability Scoring System CVSS verstehen<\/strong> und damit die Meldungen der NIST. Diese Meldungen sollten Sie als Hersteller (z.B. von Medizinprodukten) kontinuierlich \u00fcberwachen, um Risiken f\u00fcr Ihre Produkte einsch\u00e4tzen<\/strong> und beherrschen zu k\u00f6nnen. Das hilft Ihnen, die gesetzlichen Vorgaben zu erf\u00fcllen<\/strong>.<\/p>\n\n\n\n\n\n\n\n

1. Wie das Common Vulnerability Scoring System hilft, sichere Produkte zu\nentwickeln<\/h2>\n\n\n\n

a) IT-Sicherheitsl\u00fccken einheitlich bewerten<\/h3>\n\n\n\n

Vulnerability Scores klassifizieren die Art und Schwere von Software-Sicherheitsl\u00fccken (Vulnerabilities) in der IT Security<\/a>. Damit verf\u00fcgen verschiedene Parteien (z.B. Hersteller, Sicherheitsforscher, benannte Stellen, Beh\u00f6rden, Penetration-Tester) \u00fcber eine einheitliche Definition der Schweregrade.<\/p>\n\n\n\n

\n
\n <\/i> Vorsicht!\n <\/div>\n

Beachten Sie, dass der Begriff „Vulnerability“ im Deutschen manchmal als „Schwachstelle“ und manchmal als „Sicherheitsl\u00fccke“ \u00fcbersetzt wird. Streng genommen m\u00fcsste zwischen Sicherheitsl\u00fccke (Vulnerability) und Schwachstelle (Weakness) unterschieden werden.<\/p>

Das NIST SP 800-30 definiert eine Vulnerabilty als \u201eA flaw or weakness in system security procedures, design, implementation, or internal controls that could be exercised (accidentally triggered or intentionally exploited) and result in a security breach or a violation of the system’s security policy.\u201c<\/i><\/p>

Damit g\u00e4lte: Sicherheitsl\u00fccke (Vulnerability) = Schwachstelle (Weakness) + Zugriffm\u00f6glichkeit<\/p>\n <\/div>\n\n\n\n

\n
\n
\n

\u00dcberlassen Sie die Sicherheit Ihrer Patienten nicht dem Zufall<\/p>\n<\/div>\n\n\n\n

\n
\"\"<\/a><\/figure>\n<\/div>\n\n\n\n
\n

Gehen Sie mit einem Pentest des Johner Instituts auf Nummer sicher!<\/p>\n\n\n\n

\n
Weitere Infos finden Sie hier<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n

b) Inputs f\u00fcr die Risikoanalyse liefern<\/h3>\n\n\n\n

Die Scores sind allerdings noch kein(!) Ma\u00df f\u00fcr die Risiken im Sinne der ISO 14971<\/a><\/strong>, die von einer kompromittierbaren Software ausgehen. <\/p>\n\n\n\n