Latest / Cyber-Tango – der echte TRUST Podcast / Bitsea & TÜV TRUST IT im Talk: Softwareanalyse trifft KI und Regulierung

Transcript

Bitsea & TÜV TRUST IT im Talk: Softwareanalyse trifft KI und Regulierung · Cyber-Tango – der echte TRUST Podcast

• 0:07
  Speaker 1: Hallo, liebes
• 0:08
  Speaker 0: Publikum.
• 0:09
  Speaker 1: Da sind wir wieder mit dem Cybertango – dem echten Trast-Podcast!
• 0:15
  Speaker 1: Heute zu dritt.
• 0:17
  Speaker 1: aber ich beginne mal mit dir Axel du bist in Bonn.
• 0:22
  Speaker 2: Ja hallo Stefan Ich bin in der Tat bei einem Kunden in Bonnn heute.
• 0:27
  Speaker 2: Es halt etwas ist mir leid Aber gufte hier bei einem Kunden in der Tat auf der Vorstandsetage ein Besprechungsraum beschlagt nehmen.
• 0:37
  Speaker 2: Und ja, freue mich auf diesem Podcast wie du gesagt hast.
• 0:40
  Speaker 2: Ja mein Gast Stefan!
• 0:42
  Speaker 2: Wer ist das denn?
• 0:43
  Speaker 1: Genau, der kann sich auch direkt selber vorstellen.
• 0:47
  Speaker 1: Andreas willkommen im Cybertango stelle dich gerne mal vor.
• 0:52
  Speaker 0: Hallo und auch einen wunderschönen guten Nachmittag.
• 0:55
  Speaker 0: Ich bin Andreas Kulturabgründer und Geschäftsführer von der Bitzi.
• 1:00
  Speaker 0: Wir sind eine Firma, die Software
• 1:02
  Speaker 1: prüft
• 1:03
  Speaker 0: und bewertet.
• 1:04
  Speaker 0: Und wir arbeiten schon seit einiger Zeit mit euch zusammen in vielen verschiedenen Projekten.
• 1:09
  Speaker 1: Das ist korrekt!
• 1:10
  Speaker 1: Und das sind der Regel auch durchaus spannende Projekte.
• 1:14
  Speaker 1: Wir haben uns heute einen Themenschwerpunkt rausgesucht, hatte ich glaube ich letzte Woche auch schon mal angekündigt Cyber Resilience Act CAA.
• 1:24
  Speaker 1: Da sind wir auch an verschiedenen Stellen schon unterwegs.
• 1:29
  Speaker 1: Wir hatten auch schon mal berichtet über das Projekt, was bei der G-Data vorantreiben.
• 1:35
  Speaker 1: Aber genau zu diesem Thema gibt es ja doch eine große Schnittstelle unserer beider Tätigkeitsschwerpunkte und es wäre mal cool wenn du mal ausholen könntest, treibt zum Thema CAA, was da gerade im Moment von eurer Seite am Start ist.
• 1:59
  Speaker 1: Erzähl doch mal!
• 2:00
  Speaker 1: Was macht ihr da eigentlich genau?
• 2:02
  Speaker 0: Ja ich würde da ganz ein klein bisschen ausholen.
• 2:06
  Speaker 0: und zwar haben wir zu diesen Softwareprüfungen die wir ja schon sehr lange machen, haben wir schon vor fünfzehn Jahren angefangen Software Composition in RSS zu machen.
• 2:18
  Speaker 0: also das geht darum dass man genau verstehen möchte, was für Bestandteile sind in einer Software drin.
• 2:24
  Speaker 0: Das ist ja oft nicht nur der selbstgeschriebene Code, sondern ganz viel Open Source Komponenten oder irgendwelche kommerzielle Anteile.
• 2:32
  Speaker 0: und vor fast fünfzehn Jahren haben Konzerne schon angefangen, genau wissen zu wollen, was da alles drin ist.
• 2:42
  Speaker 0: Man entwickelt Software heute so, vieles wieder benutzt, was schon da ist eben auch diese Open Source Komponenten die dann in ein Produkt eingebaut werden können.
• 2:51
  Speaker 0: Das macht
• 2:51
  Speaker 1: einen schnell.
• 2:53
  Speaker 0: man kriegt qualitativ hochwertige Software und von einem typischen Softwareprodukt sind das mittlerweile fast sechzig bis neunzig Prozent, was eben diese Open-Source Komponenten sind.
• 3:05
  Speaker 1: Also ihr könnt diese Blackbox öffnen und transparent machen, was eigentlich drin ist?
• 3:10
  Speaker 0: Genau!
• 3:10
  Speaker 0: Da haben wir vor vielen Jahren eben dieses Scanner gebaut und da kommt jetzt dann der CRA ins Spiel.
• 3:17
  Speaker 0: Und zwar hat er genau zur Anforderung, dass ich ja so ein Risikomanagement machen muss um zu verstehen wo könnten in meinem Produkt Sicherheitslagen sein?
• 3:28
  Speaker 0: Und genau dafür brauche ich wieder diese Software Composition Analysis und das können wir eben sehr auf technischer Ebene sehr tief machen und erkennen sehr gut welche Produktbestandteile darin sind.
• 3:40
  Speaker 2: Passiert das dann quasi auf einer Quellcode-Ebene oder kann ich das auch als Außenstehender und potenzieller User eines Softwareproduktes bei euch beauftragen?
• 3:53
  Speaker 0: Also es ist am besten, wenn man den Quellcode hat.
• 3:55
  Speaker 0: Dann können wir die genauesten Analysen machen.
• 3:58
  Speaker 0: Wir haben oft so, dass ein Kunde nur einen Container hat oder er hat halt mehr Dateien.
• 4:02
  Speaker 0: Die könnten wir zum Stück weit untersuchen und finden da auch Bestandteile
• 4:07
  Speaker 1: mit drin.
• 4:11
  Speaker 1: Ihr seid, wenn ich das richtig in Erinnerung habe mit einem EU-Projekt auch tiefer eingestiegen.
• 4:18
  Speaker 1: Das Thema könntest du auch dazu mal den Zuhörern erläutern was es damit auf sich hat?
• 4:25
  Speaker 0: Ja die EU hat ja diesen Cyber Resilience Act herausgegeben oder erlassen weil man sichere Produkte haben will
• 4:35
  Speaker 1: und weil man
• 4:36
  Speaker 0: besseres Cyber Security haben will.
• 4:41
  Speaker 0: um das Ganze umzusetzen, gibt es eine ganze Reihe von Anforderungen die alle Firmen die digitale Produkte bauen erfüllen müssen.
• 4:51
  Speaker 0: Für große Konzerne ist das relativ leicht zu stemmen aber gerade für KMUs kleine und mittlere Firmen sind das eine ganze reihe von Themen die zusätzlich zu meinem Tagesgeschäft das mich schon einspannt auch noch machen soll.
• 5:08
  Speaker 0: Das hat die EU auch gemerkt und möchte die Firmen unterstützen.
• 5:12
  Speaker 0: Und hat daher ein großes Programm ausgeschrieben, wo es darum ging wie kann denn KMUs unterstützt
• 5:18
  Speaker 1: werden
• 5:19
  Speaker 0: mit Verfahren, mit Werkzeugketten?
• 5:24
  Speaker 0: Und das haben wir zusammen mit einem Konsortium gewonnen und haben da jetzt in den letzten zwei Jahren eine Werkzeugkette und verschiedene Tests bereitgestellt Die Firmen helfen, das schneller umzusetzen.
• 5:36
  Speaker 0: Das Schöne ist die EU hat es schon vorfinanziert.
• 5:39
  Speaker 0: Also die Firmen können das kostenlos einsetzen und der ganze Code den wir erzeugt haben, den gibt's auch als Open Source.
• 5:44
  Speaker 0: Die kannst du hier da selber installieren.
• 5:48
  Speaker 2: Also das ist ein durchaus konstruktiver Ansatz um entsprechende Unternehmen zu unterstützen und jetzt nicht, ich sag mal der böse Kontrolleur mit erhobenen Zeigefinger.
• 6:10
  Speaker 0: Genau, das ist ja auch die, wo die EU unterstützen will.
• 6:14
  Speaker 0: Man will ja sichere Produkte haben und man will ja nicht alle Firmen jetzt gleich bestrafen.
• 6:20
  Speaker 0: Also in diesem Projekt haben wir drei große Bereiche, die wir gemacht haben.
• 6:24
  Speaker 0: Das erste ist es gibt so selbst Checklisten im Internet.
• 6:29
  Speaker 0: also die Webseite ist octet.eu ganz wichtig mit zwei C und einem T. Das Erste bei diesem Selbstcheck kann eine Firma feststellen, bin ich überhaupt betroffen.
• 6:41
  Speaker 0: Der Cyber Resilience Act betrifft ja alle Firmen die digitale Produkte herstellen, die irgendwie kommunizieren können mit dem Internet.
• 6:50
  Speaker 0: Ausgenommen sind aber Produkte, die schon irgendeine anderen Regelungen unterliegen wie zum Beispiel jetzt wenn es eine Fahrzeugregelung gibt oder im medizinischen Bereich und auch in der deutschen Fahrt da gibt's schon andere Regeln.
• 7:04
  Speaker 0: Also mit diesem ersten Check kann ich mal selber feststellen, bin ich überhaupt betroffen oder nicht.
• 7:09
  Speaker 0: Dann gibt es einen zweiten Bereich das ist eine Lückenanalyse oder Gap-Analyse wie man Neudeutsch sagt.
• 7:16
  Speaker 0: die stellt viele Cybersecurity Fragen.
• 7:20
  Speaker 0: Die kann ich auch alle anklicken und am Ende kommt dann raus ne Liste mit Themen die ich noch angehen muss.
• 7:26
  Speaker 0: also Ich sehe dann sehr schön in so Grafiken was ich schon alles erfülle Und was vielleicht noch fehlt.
• 7:31
  Speaker 0: Man kann darauf hin dann praktisch meine einen Berichtswesen, Verträge kann ich dann anpassen um den Cyber Resilience Act gerecht zu werden.
• 7:42
  Speaker 0: Und der dritte Teil das ist in die Werkzeugkette wo wir viel mitgearbeitet haben, die meinen Quellcode untersucht und dann feststellt welche Komponenten sind da drin und gleichzeitig rausklickt was für Sicherheitslipensinnen in diesen Komponenten drin.
• 7:58
  Speaker 0: und das kann man regelmäßig durchlaufen lassen.
• 8:01
  Speaker 0: also der Cyber Resalience Act erfordert ja dass man gravierende Sicherheitslücken innerhalb von vierundzwanzig Stunden meldet.
• 8:07
  Speaker 0: Wenn ich dann einmal täglich das durchlaufen lasse, dann sehe ich immer hier gibt es eine neue Sicherheitslücke und kann prüfen ob die dann in meinem Produkt wirklich ausgenutzt werden kann und gebenfalls denn die Meldung erstellen und auch ein Patch da rauskleben dazu.
• 8:21
  Speaker 1: Spannend!
• 8:21
  Speaker 1: Also der Kunde kann das in großen Teilen selbstständig machen er kann sich aber auch von euch von der BITSI quasi an die Hand nehmen lassen und dadurch führen lassen.
• 8:34
  Speaker 0: Genau, wir haben dann Beratung drum herum.
• 8:36
  Speaker 0: Dieses Octet-Paket ist ein fertiges Paket mit dem Kunden selbstständig alles machen können.
• 8:42
  Speaker 0: Wenn Sie das nicht wollen oder keine Zeit dazu haben oder noch Unterstützung brauchen, dann könnt Ihr sich gerne an uns wenden.
• 8:49
  Speaker 0: Wir haben auch ein paar Produkte da noch obendrauf gebaut die es dann noch einfacher machen oder noch schöner oder eine KI, die dann schon Empfehlungen gibt.
• 8:57
  Speaker 0: wie kriege ich denn so ne Sicherheitslücke wieder weg?
• 9:01
  Speaker 2: Und kann ich damit so eine vollständige CRA-Compliance herstellen?
• 9:05
  Speaker 2: oder gibt es da noch irgendwelche offenen Flangen?
• 9:10
  Speaker 0: Also der CRA betrifft ja sehr viele verschiedene Bereiche.
• 9:14
  Speaker 0: Ich muss ja auch schon angefangen beim Design von meinen Produkten, dass ich sicherstelle das die Security bei Design entwickelt sind.
• 9:26
  Speaker 0: Es gibt sehr viele Berichtswesen.
• 9:29
  Speaker 0: Das muss ich in meiner Firma selber umsetzen, das kann diese Werkzeugkette nicht...
• 9:33
  Speaker 1: Dass ja auch was wir immer wieder tun wenn wir den Kunden unterstützen.
• 9:38
  Speaker 1: Im Grunde treffen wir hier mit der Frage von Axel genau die Schnittstelle wo wir uns super ergänzen können.
• 9:45
  Speaker 0: Genau weil das ist nicht Teil für Noctet.
• 9:49
  Speaker 1: Sag noch mal was im Kontext fällt.
• 9:52
  Speaker 1: immer wieder auch der Begriff S-Bomb Software, Bill of materials sind ja immer so Schlagworte, Abkürzungen, Anglesismen die nicht jeder direkt auf Anhieb verstehen kann.
• 10:08
  Speaker 1: Kannst du noch mal erläutern was da eigentlich was sich hinter dem S-Bom eigentlich verbirgt?
• 10:14
  Speaker 0: Ja der S- Bom ist eine einfache Teile Liste.
• 10:16
  Speaker 0: ich vergleich das ganz gerne mit wenn ich zum Beispiel in ein Supermarkt geh und mir einen Müsli kauft, dann habe ich irgendwo die Liste von den Zutaten.
• 10:27
  Speaker 0: Und kann dann sehen was ist da alles drin?
• 10:30
  Speaker 0: Bin ich gegen irgendwas allergisch?
• 10:32
  Speaker 0: Dann kaufe ich das Produkt eben nicht oder suche nach etwas anderem.
• 10:35
  Speaker 0: Und genau so ist die S-Bombe Teilliste von einer Software.
• 10:40
  Speaker 0: Wenn da jetzt was drinnen ist, Sicherheitslücken zum Beispiel, dann kann ich entscheidend nicht nehmen es nicht oder ich muss mir überlegen wie kriege ich die denn weg.
• 10:47
  Speaker 1: Ein schönes Bild mit der Teile Liste.
• 10:50
  Speaker 0: Anderer schöner Vergleich ist aus der Mobilindustrie.
• 10:54
  Speaker 0: Also ein Autohersteller, der weiß ja ganz genau von der Hardware die er verbaut, von jeder Schraube und jedem Stückchen Stoff.
• 11:02
  Speaker 0: wo kommt es her?
• 11:03
  Speaker 0: Welche Lifferant?
• 11:04
  Speaker 0: in welchen Fahrzeugen wurde das eingebaut?
• 11:06
  Speaker 0: Wenn's irgendwo mal Probleme gibt dann können direkt die Nutzer von dem Fahrzeug angeschrieben werden.
• 11:12
  Speaker 0: man sagt Achtung dein Tankdeckel hat zum Beispiel ein Problem.
• 11:14
  Speaker 0: Fahr mal bitte in die nächste Werkstatt und lass den austauschen.
• 11:18
  Speaker 0: Und bei Software ist es heute eben oft so, dass man noch gar nicht genau weiß was da alles drin ist.
• 11:23
  Speaker 0: Weil die Entwickler alles Mögliche zusammengebaut haben und die S-Bom, die ist genauso eine Teileliste wie bei einem Fahrzeug das ich eben genau weiß.
• 11:33
  Speaker 0: wo kommen die unterschiedlichen Softwareteile
• 11:35
  Speaker 1: her?
• 11:37
  Speaker 1: Super!
• 11:38
  Speaker 1: Damit kann ich auch jeder was anfangen.
• 11:40
  Speaker 1: Ja,
• 11:40
  Speaker 2: jetzt würde ich gerade da noch einmal nachbohren wenn... Ich habe das verstanden auch mit eurem Ansatz dass man über diese Kompositionsanalyse feststellen kann welche Teile da drin sind.
• 11:53
  Speaker 2: aber ich sage mal wenn ich so ein gewöhnliches Gewöhnlicher mag mir das nachsehen Software Entwickler bin hab' ich überhaupt noch ne Chance bei den heutigen Toolsets die ja auch durchaus sehr komplex sein können
• 12:06
  Speaker 0: eine
• 12:07
  Speaker 2: S-Bombe zu erstellen, ohne dass ich vielleicht auf Unterstützung viel durch euch zurückgreife.
• 12:14
  Speaker 1: Und die schiebt noch einen nach das Thema KI und Softwareentwicklung?
• 12:18
  Speaker 1: Wie gleichbar ist das denn dann?
• 12:19
  Speaker 1: auch wenn du da mal erzählen könntest wie ihr das seht und bewertet?
• 12:24
  Speaker 0: Ja es sind zwei Themen die aufeinander aufbauen.
• 12:26
  Speaker 0: also wenn wir in der Software anschauen das immer ganz interessant wird wenn Kunden fragen was hast du alles eingebaut?
• 12:32
  Speaker 0: dann kommen in der Regel so Ja, fünftig bis vielleicht hundert Komponenten.
• 12:36
  Speaker 0: Wenn man dann reinschaut finden wir garantiert über tausend bis dreitausend.
• 12:45
  Speaker 0: Und das ist der Fall weil jede Komponente dich einbaut.
• 12:49
  Speaker 0: die kann so viele Abhängigkeiten haben oder selber aus vielen kleinen Teilen bestellen oder eigens eine Coatschnipsel drin haben die irgendwo anders her kopiert wurden.
• 12:58
  Speaker 0: Die muss man alle anschauen, wenn man genau wissen will.
• 13:00
  Speaker 0: Gibt es hier Sicherheitslücken in meinem Produkt?
• 13:02
  Speaker 0: Also ein Entwickler kann das ohne Werkzeugen nicht selbstständig machen.
• 13:07
  Speaker 0: Er braucht irgendein Werkzeug.
• 13:08
  Speaker 0: Es gibt eine ganze Reihe wie zum Beispiel bei dem Octet.
• 13:12
  Speaker 0: wir verwenden... Wir haben die nicht alles selber neu geschrieben und da gibt's dann einen Scancode und Phosologie und OIT.
• 13:18
  Speaker 0: Das sind alles Open Source Produkte.
• 13:19
  Speaker 0: Es ist auch eine ganze Reihe von kommerziellen Produkten, die man nehmen kann aber ohne die würde ich behaupten geht es nicht.
• 13:28
  Speaker 0: Und bei der KI ist jetzt ein ganz spannender Fall, weil die KI, die in der Softwareentwicklung angekommen.
• 13:35
  Speaker 0: Also man kann heute so viel schneller Software entwickeln wenn man KI verwendet dass man eigentlich gar nicht mehr davon da drum herum kommt.
• 13:43
  Speaker 0: und der KI kann das sehr gut, weil sie an gelernt wurde an einen Open Source.
• 13:49
  Speaker 0: Die hat praktisch bei dem Training von der KI wurde der ganze Open Source verwendete und mit dem hat ihr das gelernt der Code, den die produziert.
• 13:59
  Speaker 0: Das sind natürlich Bruchstücke von dem was ursprünglich mal in die reingegeben wurde zum Lernen.
• 14:04
  Speaker 0: Da sind die gleichen Sicherheitslücken und die gleichen Risiken auch wieder drin.
• 14:09
  Speaker 0: Deshalb muss ich den Code genauso untersuchen.
• 14:11
  Speaker 0: das ist ein bisschen schwieriger weil ich habe eben nicht mehr diese ganzen Komponenten also keine großen Teile die man direkt sieht was mit eingebaut wurde sondern es ist eben das heißt dann Fragmente oder Kotstückchen Und die guten Scanner können sie auch rausbekommen.
• 14:28
  Speaker 2: Das beruhigt
• 14:29
  Speaker 1: mich wieder ein bisschen, das beruht nicht durchaus weil ich komme gerade aus unserer Konzern internen KI-Schulung, die hatte ich bis eben und naja da wird ja schon auf nicht nur die Chancenseite sondern auch die Risikoseite sehr stark fokussiert.
• 14:44
  Speaker 1: und gerade da hilft es ja sehr, wenn man doch in der Lage ist eben unter die Haube zu gucken und das Ganze nochmal zumindest einigermaßen transparent zu machen.
• 14:57
  Speaker 0: Ich habe hier noch einen ganz spannenden Einwurf aus unserer Niederlassung USA da war ich vor zwei Wochen.
• 15:05
  Speaker 0: Und hier in Deutschland ist ja oft so, dass man auf diesen KI-generierten Codenrad etwas kritisch schaut und guckt was kann der alles für Probleme haben.
• 15:13
  Speaker 0: Ob ich da irgendwelche Compliance Sachen dich noch beachten muss oder wo kommen Sicherheitslungen?
• 15:18
  Speaker 0: Darf ich das überhaupt alles verwenden?
• 15:20
  Speaker 0: Dass man eher vorsichtig... In den USA waren wir auch ein paar Veranstaltungen, das ist genau anders drum.
• 15:26
  Speaker 0: Da schreiben die Firmen ihren Entwickler mittlerweile vor, dass die KI verwenden müssen weil sie ebenso viel schneller sind Und dann eben im Nachgang prüfen sollen, dass es in Ordnung ist.
• 15:35
  Speaker 0: Genau umgedreht zu dem.
• 15:38
  Speaker 1: So verschieden sind die Welten!
• 15:42
  Speaker 0: Ich finde ein Vorteil für die USA-Welt, die dadurch viel schneller sind und da müssen wir schauen, dass wir nicht abgehängt werden.
• 15:51
  Speaker 2: Ja das ist glaube ich auch eine Mentalität.
• 15:52
  Speaker 2: Die Amerikaner probieren einfach erst mal Dinge aus und tun während man in Deutschland oder Europa erstmal versucht, Dinge zu reglementieren bevor überhaupt mal irgendeiner irgendwo mit konkreter Verhauung gesammelt hat.
• 16:06
  Speaker 2: Ich glaube, das ist schon ein Thema, bin ich völlig bei der Andere.
• 16:11
  Speaker 1: Bedenken Trigatum ist hier groß und da versuchen wir ja auch immer wieder in den Projekten zu vermitteln und den vernünftigen tragfähigen Kompromiss dann auch zu finden zwischen dieser Risikoabwägung und denen was an risiken Chancen in dieser KI-Welt steckt.
• 16:30
  Speaker 1: Das ist schon bezeichnend.
• 16:33
  Speaker 1: Ich würde noch mal kurz einen kleinen Ausflug machen in die Regulierungsaspekte des CAAs, weil da erleben wir das so.
• 16:47
  Speaker 1: im Moment steigt die Anfragedichte zu dem Thema CAA ziemlich an.
• 16:54
  Speaker 1: Wir haben uns ein bisschen gewundert, hatten ja sehr früh ein erstes Projekt über das wir berichtet haben und dann war es lange Zeit doch relativ still obwohl dieser Stichtag Ende siebenzwanzig ein ziemlich harter Block eigentlich ist.
• 17:11
  Speaker 1: Ein sehr harter Anschlag ist.
• 17:13
  Speaker 1: wie habt ihr das denn eigentlich so erlebt?
• 17:15
  Speaker 1: Wie sich die dieser Regulierungsimpuls bisher so am Markt ausgewirkt hat?
• 17:21
  Speaker 0: Ja, ich glaube viele Firmen die sind überschwemmt
• 17:25
  Speaker 1: von verschiedensten
• 17:26
  Speaker 0: Regulierungen und sehen dann nur der CRA acht.
• 17:29
  Speaker 0: Der gilt ja ab Ende siebenundzwanzig da habe ich noch Zeit.
• 17:32
  Speaker 0: was aber ganz wichtig ist es zu sehen diese Berichte also dass sich schwere Schwachstellen schon melden muss der gilt schon ab elften September.
• 17:40
  Speaker 0: zwei tausend sechsund zwanzig.
• 17:42
  Speaker 0: Also das sind jetzt nur noch wenige Monate bis dahin.
• 17:45
  Speaker 0: Und wenn ich so eine Software Komposition Analyse machen muss von meinem Code Die kann oft Wochen oder wenn der Kot sehr groß ist auch mal ein paar Monate dauern.
• 17:55
  Speaker 0: Also das wird schon höchste Zeit, dass man es umsetzt und wir sind auch auf vielen Veranstaltungen unterwegs einfach um das Bewusstsein zu schärfen.
• 18:02
  Speaker 0: Dass die dass man das jetzt umsätzt dass man anfangen muss also dass man nicht warten kann bis Ende sieben und zwanzig.
• 18:08
  Speaker 1: veranstaltung ist ein super stichwort.
• 18:10
  Speaker 1: Wir sind auch zusammen demnächst unterwegs mit ihr sammelt
• 18:15
  Speaker 2: nicht mehr so weit weg.
• 18:16
  Speaker 0: ja
• 18:19
  Speaker 1: wann haben wir den?
• 18:21
  Speaker 1: Der findet in München, glaube ich statt.
• 18:23
  Speaker 1: Habe ich das richtig in Erinnerung?
• 18:26
  Speaker 0: Genau und zwar ist er im siebten und achten Juli in Münchner.
• 18:34
  Speaker 1: Da werden wir dann auch noch über die üblichen Kanäle und Social Media reichhaltig zu informieren.
• 18:41
  Speaker 1: Das sind Kollegen von euch und von uns aus der Beratung mit dabei, die sich auf das Thema spezialisiert haben Und ich denke mal, wenn ich im Moment die Anfrage und Projektstartliste sehe, dass das eine relativ volle Veranstaltung werden wird.
• 19:03
  Speaker 1: Was uns natürlich freut denn so soll es sein.
• 19:07
  Speaker 1: Unsere Erfahrung ist immer, dass man gerade, wenn man früh in diesen Projekten Erfahrungen gesammelt hat dann jedem nächsten Projekt aspiranten auch weiterhelfen kann eben mit diesem Erfahrungsschatz.
• 19:20
  Speaker 0: Das ist nochmal interessante Erfahrung aus den USA hier dazu.
• 19:26
  Speaker 0: In den USA sind ganz viele Firmen, die gar nicht direkt in Deutschland oder Europa verkaufen, aber die wissen, sie sitzen irgendwo in der Zulieferkette mit drin und die müssen ja auch alle dem COA genügen.
• 19:39
  Speaker 0: Die fragen schon sehr viel an.
• 19:42
  Speaker 0: Ich muss hier alle Daten bereitstellen, umso dass es keine Probleme gibt und nicht weiter zu Lieferers sein kann.
• 19:48
  Speaker 0: Die wollen jetzt schon wissen welche Komponenten habe ich, welche Sicherheitslücken?
• 19:51
  Speaker 0: Und die haben ihre S-Bombs und haben ihre Software damit schon sauber gemacht.
• 19:59
  Speaker 1: Ich hab auch noch eine interessante Überschneidung gesehen bei den Kunden, die sich im Rahmen der Komponenten der Industrie Steuerungen mit den Themen befassen die also wegen der IEC-Systeme sind und schauen wo sie stehen, dass man dann sehr schnell auf das Thema CAA zu sprechen kommt.
• 20:19
  Speaker 1: Und das auch manchmal interessanterweise dann vorzieht.
• 20:22
  Speaker 1: Also es gibt da ja wie immer verschiedene Wege, die zum Ziel führen und auch verschiedene Ausgangslagen.
• 20:29
  Speaker 1: Im Moment verdichtet sich das auch aus dem Sektor heraus in Richtung CAA.
• 20:38
  Speaker 1: von daher eine spannende Zeit.
• 20:42
  Speaker 1: Was würdest du uns denn so für die nächsten gemeinsamen Projekte hier noch für die Zuhörer auch mit auf den Weg geben?
• 20:52
  Speaker 1: Also ich glaube, wie wir es bei NIST-II haben Betroffenheitsanalyse, die man ja auch selbstständig durchführen kann ist doch dann schon mal ein super Ansatzpunkt um überhaupt zu schauen ob einen das wirklich tangiert und dann die nächsten Schritte abzuwenden.
• 21:10
  Speaker 0: Genau, das würde ich jedem empfehlen.
• 21:12
  Speaker 0: Einmal schaue und bin nicht betroffen!
• 21:13
  Speaker 0: Und wenn ja vielleicht auch so eine Gap-Analyse machen die können wir auch durchklicken auf dieser Octet Webseite und dann weiß ich schon ob ich vielleicht habe ich schon alles aufgesetzt oder vielleicht fehlen nur noch einzelne Teile oder es fehlt noch ganz viel.
• 21:27
  Speaker 0: aber da kann ich zumindest mal einen Plan machen.
• 21:31
  Speaker 2: Also ich habe auch eben gerade schnell auf die Octet-Seite drauf geschaut, muss ich ja sagen.
• 21:35
  Speaker 2: Als du dir erwähnt hattest Andreas und ja, ich meine ist er durchaus sehr konstruktiv.
• 21:39
  Speaker 2: also ich glaube damit kann man auch durchaus zurechtkommen.
• 21:44
  Speaker 2: Und wie du schon gesagt hast wenn man alleine es dann doch nicht schafft oder nicht die die Kapazität dafür hat Dann ich denke muss man halt auch schauen entsprechende Hilfsangebote hier wie zu suchen.
• 21:58
  Speaker 0: Es gibt auch Kunden, die sagen wir wollen das gar nicht machen.
• 22:00
  Speaker 0: Das ist so außerhalb von unserem Geschäft.
• 22:03
  Speaker 0: Die kaufen es einfach
• 22:04
  Speaker 2: ein.
• 22:08
  Speaker 1: Da steht ja jedem frei und ihr steht da zur Verfügung.
• 22:12
  Speaker 1: Und wie er in dem besagten Umfeld wenn's ob die regulative Konformität und sonstige Dinge geht ebenso.
• 22:21
  Speaker 1: Und da finden wir immer wieder gut zusammen.
• 22:26
  Speaker 1: bedanke ich mich für deine Teilnahme heute und diesen kleinen Ausflug in dieses hochinteressante EU-Projekt.
• 22:33
  Speaker 1: Und das, was da rausgekommen ist...
• 22:36
  Speaker 2: Ich fand es sehr spannend!
• 22:37
  Speaker 2: Danke!
• 22:38
  Speaker 0: Ja vielen Dank für die Einladung.
• 22:41
  Speaker 1: Wir sehen uns spätestens in München aber wahrscheinlich dann auch noch mal vorher den jeweiligen Projekten.
• 22:50
  Speaker 1: Axel und Andreas macht's gut
• 22:52
  Speaker 2: ja ihr auch.
• 22:53
  Speaker 2: herzlichen dank nochmal fürs zuhören und bis nächste Woche
• 22:57
  Speaker 1: Bis bald.
• 22:58
  Speaker 2: Nachts gut, tschüss!