Definition und Zweck

Der Zweck des Standards besteht darin, eine Reihe von Richtlinien bereitzustellen, die Organisationen dabei helfen können, eine vertrauenswürdige Lieferkette aufzubauen und die Sicherheit ihrer Produkte vor bösartiger Software und Hardwaremanipulation zu gewährleisten. Er adressiert das Risiko für das Unternehmen, böswillig verfälschte oder gefälschte Komponenten in einem Produkt zu integrieren.

Verwaltungsgremium

ISO/IEC 20243-1 wird von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) in Zusammenarbeit mit The Open Group, die ursprünglich den O-TTPS entwickelt hat, gepflegt.

Zuletzt aktualisiert

ISO/IEC 20243-1 wurde 2018 veröffentlicht. Es soll durch ISO/IEC PRF 20243-1 ersetzt werden, das derzeit voraussichtlich im Dezember 2023 veröffentlicht wird.

Gilt für

ISO/IEC 20243-1 gilt für jede Organisation, die an der Produktion, dem Design, der Beschaffung oder dem Vertrieb von COTS IKT-Produkten beteiligt ist. Dies umfasst Hersteller, Lieferanten und Distributoren, die Teil der IKT-Produktlieferkette sind.

Kontrollen und Anforderungen

Der Standard skizziert verschiedene Kontrollen und Best Practices in mehreren Bereichen, darunter unter anderem:

• Risikobewertungsverfahren: Bewertung von Risiken während des gesamten Produktlebenszyklus und der Lieferkette.
• Sichere Engineering- und Entwicklungspraktiken: Sicherstellen, dass Sicherheitsmaßnahmen in die Engineering- und Entwicklungsprozesse integriert sind.
• Sicherheit der Lieferkette: Maßnahmen zur Sicherung der Lieferkette gegen gefälschte und verfälschte Komponenten.
• Sichere Produktion/Vertrieb: Sicherstellen der Sicherheit und Integrität von Produkten während der Produktion und des Vertriebs.
• Manipulationssicherheit: Maßnahmen zur Verhinderung unbefugten Zugriffs und Manipulation von Produkten.
• Verifizierung der Produktintegrität: Prozesse zur Überprüfung der Integrität von Produkten und Komponenten.
• Lieferantenbeziehungsmanagement: Management der Beziehungen zu Lieferanten, um sicherzustellen, dass sie die Sicherheitsanforderungen erfüllen.

Bitte konsultieren Sie die offizielle ISO/IEC 20243-1:2018 Dokumentation für detaillierte Informationen zu Kontrollen und Anforderungen.

Audit-Typ, Häufigkeit und Dauer

Audits typically involve a third-party assessment against the standard's controls for supply chain security and integrity. The frequency of such audits may be determined by contractual obligations, risk management strategies, or as part of certification requirements.

The duration of an audit can vary widely based on the size and complexity of the organization, the number of products being audited, and the depth of the supply chain being examined.