FORTIS bietet ein praxisnahes Framework und Toolset für kontextbewusste Vulnerability Intelligence in Zeiten KI-basierter Angriffe. Der Ansatz verbindet technische Schwachstelleninformationen mit Asset-Kritikalität, Exponiertheit, Prozessrelevanz und regulatorischen Anforderungen.
1. Lagebild für KI-basierte Cyberrisiken
Das Framework bietet ein strukturiertes Lagebild – basierend auf Experteninterviews: Es macht sichtbar, wie KI-basierte Angriffe Reconnaissance, Schwachstellennutzung und Angriffsvorbereitung verändern. Daraus wird abgeleitet, welche Risikofelder für IT, OT und kritische Prozesse besonders relevant sind:
- Triage – systematische Einordnung wachsender Schwachstellenmeldungen nach realem Risiko
- Priorisierung – Bewertung entlang von Asset-Kritikalität, Exponiertheit und Prozessrelevanz
- Remediation – passende Maßnahmen auch für nicht patchbare OT- und Legacy-Systeme
So entsteht eine gemeinsame Entscheidungsgrundlage, die technische Findings in betriebliche Handlungsoptionen übersetzt.
2. Kontextmodell für Schwachstellenbewertung
Kern des Frameworks ist ein Kontextmodell, das Schwachstellen nicht isoliert nach technischer Schwere bewertet. Es verknüpft Schwachstelleninformationen mit betrieblichen, organisatorischen und regulatorischen Einflussgrößen. Dazu gehören insbesondere:
- Kritikalität und Funktion der betroffenen Assets
- Exponiertheit, Zugriffsvoraussetzungen und Abhängigkeiten
- Auswirkungen auf Produktions-, Versorgungs- und Geschäftsprozesse
- Nachweis-, Melde- und Dokumentationspflichten aus Regulierung und Compliance
3. Priorisierungslogik für wirksame Entscheidungen
FORTIS stellt eine nachvollziehbare Priorisierungslogik bereit. Sie unterstützt dabei, aus vielen Findings die wirklich relevanten Handlungsbedarfe abzuleiten. Damit werden Security-Teams entlastet und Entscheidungen für Management, Betrieb und Compliance transparenter.
4. Maßnahmenkatalog für IT-/OT-Resilienz
Zum Lösungskonzept gehört ein Maßnahmenkatalog für unterschiedliche System- und Risikolagen. Er umfasst technische, organisatorische und prozessuale Kompensationsmaßnahmen und ist besonders dort relevant, wo Systeme nicht kurzfristig gepatcht oder ersetzt werden können.
5. Anwendungsbausteine
Das Framework wird durch anwendungsnahe Bausteine ergänzt, die den Ansatz für konkrete Nutzungsszenarien greifbar machen. Beispiele sind OT-Brownfield-Umgebungen, KRITIS-Betreiber sowie Energie- und Ladeinfrastrukturen.
6. Transfermodule für Beratung, Schulung und Umsetzung
FORTIS ist als transferfähiges Konzept angelegt. Die Ergebnisse lassen sich in Schulungen und Pilotprojekte überführen und perspektivisch um Module für SBOM-Integration, Supplier-Risikobewertung, KRITIS-Sektoren oder spezifische Industrieumgebungen erweitern.
Fraunhofer IAO | Mensch-Technik-Interaktion
