ISO 22383:2020 bietet Organisationen eine Anleitung zur Auswahl der am besten geeigneten „Authentifizierungselemente“ (Geräte, die als Teil einer Authentifizierungslösung verwendet werden), um die Echtheit ihrer materiellen Güter zu validieren, und legt Kriterien fest, die zur Analyse und zum Vergleich verschiedener Optionen verwendet werden können. Diese Norm schreibt kein exklusives Authentifizierungsmittel vor. Die darin enthaltenen Leitlinien sind universell anwendbar, unabhängig der materiellen Ware, der Umgebung oder der verwendeten Authentifizierungstechnologie.
 

Beschreibung
 

ISO 22383:2020 ist Teil eines größeren Rahmens von Normen, die sich auf Authentizität, Integrität und Vertrauen  für Produkte und Dokumente beziehen. Es handelt sich um eine Reihe von Richtlinien, die Organisationen dabei helfen sollen, die Kategorie(n) von „Authentifizierungselementen“ zu ermitteln, die sie zur Bekämpfung von Fälschungen verwenden sollten. Dabei beschreibt sie

• die Grundprinzipien für die Festlegung einer Fälschungsbekämpfungsstrategie,
•  
• die verschiedenen Kategorien bestehender Technologien,
• ferner werden Leistungskriterien vorstellt; und
• es wird aufgezeigt, wie diese Kriterien zur Prüfung der Wirksamkeit von Authentifizierungselementen und Gesamtlösungen verwendet werden können.

>>Grundprinzipien
 

Nach der Norm sind die Faktoren, die die am besten geeigneten Authentifizierungselemente und -lösungen bestimmen und somit die Grundlage der Fälschungsbekämpfungsstrategie bilden, folgende:

• eine Bewertung der fälschungsbezogenen Risiken,
• der Kontext der Umsetzung und Verwendung, und
• technische, logistische und finanzielle Kriterien.

Diese Faktoren (eine vollständige Liste ist in dem Dokument enthalten) bilden die Grundlage für die Festlegung der Leistungsanforderungen für Authentifizierungselemente und -lösungen sowie für die Prüfung ihrer Wirksamkeit.

Diese Prüfung sollte auch beide Prozesse berücksichtigen, die an einer Authentifizierungslösung beteiligt sind: den Erstellungsprozess (bei dem die Authentifizierungselemente definiert, erstellt und in oder auf das Produkt integriert werden) und den Inspektionsprozess (bei dem die Elemente von geschulten Inspektoren mit den entsprechenden Tools überprüft werden, sofern Tools erforderlich sind).

Die Norm empfiehlt, bei der Entwicklung der Lösung einem „Sicherheit-durch-Design-Prozess“ zu folgen.

>> Kategorisierung der Technologien
 

Die Norm identifiziert drei Kategorien von Technologien - „offene“, „verdeckte“ und „forensische“ Technologien. Diese können anhand der folgenden Merkmale analysiert und verglichen werden:

• Bereitstellung von Wissen: die Art und Weise, wie dem Inspektor allgemeines oder warenspezifisches Wissen zur Verfügung gestellt wird;
• Beschaffung und Herstellung von Authentifizierungselementen und -Tools: die Arten von Sicherheitsmaßnahmen, die zur Prüfung von Anbietern und zum Schutz von Produktionsprozessen vor Wissenstransfer und Diebstahl eingesetzt werden;
• Inspektion: ob die Inspektion durch menschliche Sinne, ein Authentifizierungstool oder forensische Analyse erfolgt.

>> Leistungskriterien
 

Die Norm legt Leistungskriterien fest, anhand derer die Rechteinhaber bewerten können, wie gut Authentifizierungselemente und -lösungen in Bezug auf die in der Risikobewertung ermittelten Risiken funktionieren. Die Leistungsanforderungen werden durch den Vergleich der Leistungskriterien mit der Risikobewertung definiert.

Für Authentifizierungselemente umfassen die Leistungskriterien:

• Physikalische Eigenschaften (Größe, Material, Flexibilität, Viskosität, Haltbarkeit und Beständigkeit gegenüber Umweltbedingungen usw.);
• Angriffsresistenz (Resistenz gegen Manipulation und Veränderung, Datenverletzungen, Abhören der Kommunikation und Obsoleszenz);
• Integrationsprozess (wie sicher der Prozess der Integration des Elements in die materielle Ware ist).

Für Authentifizierungslösungen gehören zu den Leistungskriterien:

• Standort und Umgebung für den Authentifizierungsprozess (Verfügbarkeit von Energieressourcen, Umgebungsbedingungen wie Temperatur oder Feuchtigkeit, Exposition gegenüber Gefahren usw.));
• Authentifizierungsparameter (die Zeit, die für die Verarbeitung der Authentifizierung benötigt wird, Genauigkeitsrate und Geschwindigkeit, die Zeit, die benötigt wird, um ein Ergebnis zu erhalten, usw.);
• Sicherheitsstrategie (die Maßnahmen, die ergriffen werden müssen, um alle Komponenten der Lösung, die Lieferkette usw. zu sichern);
• Einhaltung einschlägiger Vorschriften (einschließlich staatlicher oder von Aufsichtsbehörden erlassener Vorschriften - insbesondere, wenn die Lösung für den Einsatz auf internationalen Märkten vorgesehen ist).

>> Prüfung der Effektivität

Die Effektivität eines Authentifizierungselements oder einer Lösung kann geprüft werden, indem beurteilt wird, wie gut es bzw. sie die Anforderungen erfüllt, die für jeden Satz von Kriterien definiert wurden. ISO 22383:2020 vereinfacht diese Bewertung durch ein Raster im Anhang, das alle Leistungskriterien enthält und es dem Nutzer ermöglicht, die Leistungsanforderung für jedes einzelne Kriterium sowie dessen Relevanz anzugeben.

Anwendungen
 

ISO 22383:2020 richtet sich an alle Organisationen, die in der Lage sein müssen, die Echtheit und Unversehrtheit von materiellen Gütern mit Authentifizierungselementen und -lösungen in jedem Stand der Lieferkette zu überprüfen. Sie kann von Organisationen jeder Art und Größe verwendet werden. Authentifizierungslösungen können zur Bekämpfung von Fälschungen, zur Vorbeugung von Produktpiraterie und zur Verhinderung von Warenumleitungen eingesetzt werden.

Kosten
 

Alle aktuellen Preis- und Erwerbsinformationen sind auf der Website der ISO und den Websites ihrer nationalen Mitglieder zu finden.