Threat Analysis & Risk Assessment für IT/OT-Projekte

Um Systeme robust und sicher zu gestalten, ist eine systematische Threat Analysis und Risk Assessment (TARA) unerlässlich.
Dabei werden Schwachstellen und Bedrohungen frühzeitig identifiziert, bewertet und geeignete Gegenmassnahmen abgeleitet.

In dieser zweitägigen Schulung lernen die Teilnehmenden praxisnah die gängigen Methoden wie STRIDE, OWASP Risk Rating und Likelihood-/Impact-basierte Risikoanalyse sowie Attack-Tree-basierte Analysen kennen.
Zudem wird ein etablierter Workflow zur systematischen Threat Analysis und Risk Assessment vorgestellt, der sich auch auf safety-relevante Branchen wie Medizintechnik oder Bahnwesen übertragen lässt. Auf Wunsch kann die Schulung auch Bezüge zu TARA gemäss ISO 21434 behandeln, z. B. für Automotive oder andere sicherheitsrelevante Branchen.

Tag 1 – STRIDE und Risk Assessment

• Einführung in Threat Modeling und das Risk Context Modell (ISO 15408-1)
• Threat Modeling Cycle mit STRIDE und praktischen Beispielen
• Vergleich von STRIDE per Element vs. STRIDE per Interaction (Vor- und Nachteile)
• Quantitative und qualitative Risikoanalyse basierend auf Likelihood-/Impact-Bewertung und OWASP Risk Rating Methodik
• Vor- und Nachteile der verschiedenen Risikoanalyse Methoden

Tag 2 – Attack Trees und TARA Workflow

• Grundlagen der Attack Tree-basierten Threat Risk Analysis
  
• Vorgehen und Bewertung von Angriffspfaden (einfache und erweiterte Methoden)
• Kombination von STRIDE und Attack Trees in der Praxis
• Systematische Einführung in einen etablierten Workflow zur Threat Analysis und Risikobewertung
• Übertragung dieses Workflows auf eigene Projekte und Domänen
• Optional: Anwendung von TARA gemäss ISO 21434 für Automotive und andere Domänen