Die Digitalisierung erfasst sämtliche Bereiche von Wirtschaft und Gesellschaft – in offensichtlichen Bereichen des täglichen Lebens als auch weniger zugänglichen Bereichen wie OT. Safety und Cybersicherheit sind hierbei elementar. Denn Cyberangriffe zählen zu den grössten Bedrohungen. Unternehmen sind gefordert, Sicherheit auch in OT-Umgebungen zu gewährleisten. Wie dies gelingt, erfahren Sie in diesem Blogbeitrag.
Sicherheit in der physischen OT-Welt ist anders als die virtuelle IT-Sicherheit
Die industrielle Produktion wird zunehmend digitaler. Neue Techniken aus der IT halten Einzug in die Anlagen, autonom agierende und selbstlernende Roboter fertigen komplexe Produkte, und selbstfahrende Fahrzeuge liefern Bauteile an die Fertigungsstrassen. Zwei Welten treffen aufeinander: Auf der einen Seite die Automatisierung (OT) und auf der anderen die Informationstechnologie (IT). Mit (I)IoT und Industrie 4.0 entstehen neue Sicherheitsrisiken, denn nun werden technische Systeme, die bislang nicht mit dem Internet verbunden waren, auch angreifbar. Beabsichtigte oder unbeabsichtigte Fehlfunktionen können ggf. irreversible Schäden in der physischen Welt anrichten, die im Gegensatz zur IT-Welt nicht mit einem Patch behoben werden können.
Die Vision ist also die einer umfassenden Konnektivität und der Nutzung des entstehenden Synergiepotentials – sei es nun im gesamten Netzwerk oder nur bezogen auf die Produktionssysteme eines Unternehmens. Die Realität ist hingegen das Zusammenfügen zweier komplexer Welten mit ebenso komplexen und teilweise veralteten oder fehlerbehafteten Schnittstellen. Während die IT klassischerweise ihren Schwerpunkt auf Vertraulichkeit, Informationssicherheit und Datenschutz legt, fokussiert sich die OT auf Verfügbarkeit der Maschinen und Anlagen sowie den Schutz von Mitarbeitenden und der Umwelt. Während wir in der deutschen Sprache mit dem Begriff Sicherheit versuchen, beide Bereiche abzudecken, werden im Englischen zwei Ausdrücke verwendet: Safety und Security. Mit Safety ist die Betriebssicherheit gemeint, also der Schutz von Mensch und Umwelt. Security hingegen meint den Schutz der Daten und die Aufrechterhaltung einer ordnungsgemässen Datenverarbeitung.
Die Gewährleistung der Safety ist nicht nur durch den Einsatz in kritischen Umgebungen, wie Kraftwerken, Stromversorgung oder Maschinensteuerung notwendig, sondern auch aus gesetzlicher Sicht (Produktehaftpflicht, Gewährleistung, zwingende Sicherheitsprüfungen und Zertifizierungen usw.) zwingend. Zahlreiche Standards erzwingen deshalb eine hohe Schutzstufe, da die Auswirkungen bei einem fehlerhaften Verhalten z.B. aufgrund einer Fehlfunktion oder eines Cyberangriffs, sehr gefährlich werden können.
Einmal etablierte Safety-Massnahmen behalten meist über längere Zeit ihre Wirksamkeit, auch aufgrund der langen Lebenszeit der Produkte und der weniger häufigen Updates. Die schnelllebige IT-Security hingegen erfordert einen ganz anderen Umgang mit Updates und Produkterneuerungen. In der IT muss öfter und schneller nachgebessert werden, was zu entsprechend häufigen Updates führt, aber auch dazu führen kann, weniger ausgereifte IT-Produkte an den Markt zu bringen. Darüber hinaus ist Safety schon viel länger ein Thema als Security, da diese erst mit der zunehmenden digitalen Vernetzung in den Fokus gerückt ist – somit bestehen bezüglich Safety auch grössere Erfahrungsgrundlagen, ausreichende Rechtssicherheit und Regulative zum Schutz der Konsumentinnen und Konsumenten.
Unterschiede zwischen der klassischen IT und OT
Wie sich die beiden Welten unterscheiden, zeigt die nachfolgende Tabelle:
Aufgrund der ursprünglichen Isolation der beiden Welten voneinander (keine Verbindung OT-IT oder nur isolierte Kommunikation und manuelle Schnittstellen) verwundert es nicht, dass die OT nach Etablierung von Produkttests, Konsumentenschutzmechanismen usw. über lange Jahre hinweg nicht nur wenig Schlagzeilen hinsichtlich Safety, sondern vor allem keine Schlagzeilen im Bereich der Security machte. Wobei die Betonung (leider) ganz klar auf «machte» liegt. Denn mit der zunehmenden Verbreitung von IoT und der zunehmenden Digitalisierung der Steuerung von physischen Systemen durch komplexe IT-Systeme und -Verbunde wachsen die beiden Welten immer stärker zusammen und geraten damit ins Visier von Hackern. Daher ist es wichtig zu erkennen, dass «Sicherheit» in unterschiedlichen Zusammenhängen stehen kann, jedoch auch beide Bereiche eine zunehmend grössere Schnittmenge besitzen. Jedoch sind die Herangehensweisen an erkannte Probleme in beiden Welten unterschiedlich ausgeprägt, das jeweilige Verständnis für die jeweils andere Seite ist noch eher gering. Weder die eine noch die andere Seite (inklusive den «General purpose» Netzwerken auf Basis der Internet-Technologie) scheinen besonders gut vorbereitet auf die Bewirtschaftung gemeinsamer Ende-zu-Ende Dienste mithilfe komplexer Schnittstellen und Protokolle.
Die Gefahr durch Cyberattacken auf OT ist anders
Bei industriellen Systemen ist das Gefahrenpotential vollkommen anders strukturiert als bei der klassischen IT. Durch den Ausfall von Maschinen und Anlagen (etwa bei einem Stromausfall) können erhebliche Schäden entstehen. Hier reichen oftmals schon Millisekunden aus. Darüber hinaus können Menschen durch den Ausfall von Systemen oder deren Fehlfunktion in Gefahr geraten bzw. irreversiblen Schaden nehmen.
Mit zunehmenden Digitalisierung und der Umsetzung von Industrie 4.0 rücken Safety und Security immer häufiger in einen gemeinsamen Kontext. Komponenten, Systeme und Anlagen werden vernetzt und digital gesteuert, der Begriff industrielle IT-Sicherheit taucht immer häufiger auf. Fehler im Bereich der Security können zu einem Problem von Safety werden und Auswirkungen auf Mensch und Umgebung haben. Schaffen es Cyberkriminelle, mit Hilfe verseuchter E-Mails ins Firmennetzwerk vorzudringen, können sie einzelne Maschinen oder ganze Produktionsstrassen übernehmen, zum Stillstand bringen oder bestimmte Teilprozesse manipulieren. Die zeigte auch der Cyberangriff auf die grösste Pipeline der USA. Damals waren rund 50 Millionen Verbraucher betroffen, da die Versorgung mit Benzin, Dieselkraftstoff und Heizöl (rund 2.5 Millionen Fass pro Tag) beeinträchtigt war, was auch massive Auswirkungen auf die Rohöl- und Benzinpreise hatte. Weiter kann die Auslieferung von fehlerhaft hergestellten Produkten unter Umständen den Ruin von Unternehmen – und aufgrund von Haftungen und Schadenersatzansprüchen – auch des Anlagenbauers bedeuten.
Mit dem Einsatz der CPS (Cyber Physical Systems) steigt im produktionsnahen Umfeld das Gefahrenpotential noch weiter an und so zählen Angriffe auf SCADA-Systeme schon fast zum Alltag. Durch die zunehmende Vernetzung der einzelnen Maschinen und Anlagen entsteht eine neue Transparenz und schafft viele Vorteile. Auf der anderen Seite wirken in der harten Echtzeitwelt der Produktion bekannte Mechanismen zur Abwehr von Cyberangriffen nur bedingt.
Und das ist leider noch nicht alles. Vielfach existieren im Produktionsumfeld veraltete Systeme, Schnittstellen und Protokolle, mit den damit verbundenen Sicherheits-, Wartungs- und Betriebsüberwachungsproblemen. Somit ist sowohl das Gefahrenpotential als auch die Palette der zu ergreifenden Schutzmassnahmen extrem vielfältig, und kann die sehr spezialisierten Unternehmen und Fachkräfte rasch überfordern. Klassische Ansätze wirken, unabhängig vom Alter der Systeme, in solch komplexen Umgebungen auch nur sehr begrenzt. In der Produktion herrschen (wie Sie in der Tabelle gesehen haben) Echtzeitanforderungen vor – nicht nur für die Kommunikation. Darüber hinaus müssen die Systeme rund um die Uhr (7x24 Stunden) verfügbar sein. Somit stehen keine Service-Zeiten für Updates zur Verfügung.
Ein gemeinsamer Kontext allein verbessert jedoch nicht die Sicherheit. Das lässt sich nur durch die enge, verantwortungsvolle Zusammenarbeit der Disziplinen Safety und Security erreichen. Aufgrund der immer stärker praktizierten vertikalen Integration bedarf es ganzheitlicher Ende-zu-Ende Ansätze, um einen wirkungsvollen Schutz von Cyberangriffen in Unternehmen zu gewährleisten. Somit schliesst sich hier der Kreis zwischen IT und OT. Genauso wenig wie die IT die produktionsnahen Herausforderungen meistern kann, vermag die OT die Sicherheitsanforderungen alleine zu meistern.
OT-Security damit die Safety gewährleistet bleibt
Beide Bereiche, IT und OT, müssen also Hand in Hand zusammenwirken, und dieser Zwang zur Zusammenarbeit wird im Zuge der zunehmenden Digitalisierung immer stärker – Konsumenten wie Regulatoren und Gesetzgeber fordern eine sichere Ende-zu-Ende Kette und differenzieren zu Recht nicht, wo Fehler auftauchen, die zu unsicheren Produkten oder Dienstleistungen führen. Dies gilt nicht nur für das Thema Cybersicherheit. Während für die Safety klare Richtlinien gelten und aufwändige Assessments durchgeführt werden müssen, wird OT-Security vielfach immer noch stark vernachlässigt. Mit OT und IoT-Integrationen entwickeln sich die Produktionsumgebungen in eine vernetzte Welt und hier ist Cybersicherheit zusätzlich zur etablierten Produkt- und Produktionssicherheit entscheidend.
Um Angriffe abzuwehren, sollten sich Unternehmen also vor der Entwicklung oder der Integration neuer Maschinen oder Anlagen Gedanken um deren Sicherheit im eigenen Betriebs- und IT-Kontext machen und diese Aspekte im Vorfeld mit dem Betreiber klären. Hierbei unterscheidet sich die Security deutlich von einer klassischen IT-Umgebung: Bei Laufzeiten von durchschnittlich 20 Jahren und mehr wird die Aktualisierung von Firmware, Betriebssystem und APIs sowie der Einsatz von Sicherheitsmassnahmen deutlich erschwert, sofern über so lange Zeiträume überhaupt entsprechender Support vom Hersteller geleistet wird und sofern die Systeme nicht so zertifiziert sind, dass Updates zu aufwändigen Re-Zertifizierungen führen. Wird eine auf die Kundenbedürfnisse speziell angepasste Individuallösung implementiert, ist sie oftmals nicht kompatibel mit standardisierten IT-Sicherheitssystemen. Die Norm IEC 62443 hat sich mittlerweile als international anerkannter Standard für Security im Umfeld der Prozess- und Automatisierungsindustrie etabliert – dies haben wir Ihnen in einem anderen Beitrag bereits ausführlich geschildert.
Transparenz in OT- und ICS-Umgebungen ist elementar
Mit der Digitalisierung der Industrieanlagen haben sich die Anforderungen an OT-Security deutlich erhöht, nun gilt es OT-Massnahmen anzupassen, um diesen Ansprüchen gerecht zu werden. Hierfür braucht es Technologien, beispielsweise von unserem Partner Nozomi Networks, zur kontinuierlichen Überwachung von industriellen Steuerungs- und Automatisierungssystemen. Mit deren Unterstützung ist es möglich, eine vollständig digitalisierte und vernetzte Industrieproduktion über die Grenzen heutiger Fertigungsprozesse hinaus sicher zu realisieren. Eine wichtige Rolle spielt hier die produktionsgerechte Erfassung der Kommunikation zwischen Anlagen und Maschinen und deren Auswertung auf Sicherheitsbedrohungen in Echtzeit. Dank Nozomi kann der wachsenden Cyberrisiken durch Netzwerktransparenz, Bedrohungserkennung und Einblick in betriebliche Abläufe entgegengewirkt werden. Damit wird das notwendige Sicherheitsniveau für die Produktionsprozesse und Geschäftsmodelle von Industrie 4.0 geschaffen, ohne eine kostspielige Umstellung bestehender Systeme zu verursachen. Möchten Sie mehr dazu erfahren? Kontaktieren Sie uns – gerne stellen wir Ihnen die Lösung von Nozomi Networks in einem persönlichen Gespräch vor.
Darüber hinaus ist für die Sicherheit, den Schutz von geistigem Eigentum und entsprechenden Marktvorteilen wie auch für das nachhaltige Risikomanagement unabdingbar, dass ein Unternehmen seine kritischen und schützenswerten Assets und deren Zustand jederzeit genau genug kennt. Dazu gehören beispielsweise Anlagen und Maschinen, Produktionsprozesse und -verfahren oder Daten über Fertigungsparameter, Rezepturen und Prozess-Know-how. Diese kritischen und schützenswerten Assets sind entsprechend zu dokumentieren und in regelmässigen Abständen zu aktualisieren. Dabei gilt es, die möglichen Bedrohungen und Zusammenhänge für die einzelnen Assets aufzuzeigen. Anhand der Eintrittswahrscheinlichkeit und dem möglichen Schadensausmass werden die Kritikalität, der Schutzbedarf und die Massnahmen abgeleitet. Je höher die Risikoeinstufung für eine Anlage ist, desto mehr wird jeder Zugriff auf oder durch diese Anlage überprüft.
Neben technischen Massnahmen sollten Unternehmen in diesem Zusammenhang auch die zur Steuerung und Optimierung der technischen Schutzmassnahmen nötigen Security-Richtlinien und -Prozesse erarbeiten und umsetzen. In diesem Rahmen müssen ebenfalls Rollen, Zuständigkeiten und Verantwortlichkeiten innerhalb der IT- und OT-Welt, aber auch bereichsübergreifend, definiert werden. Zudem sollten Unternehmen regelmässig Übungen zur Reaktion auf Vorfälle durchführen, um die organisatorische Effektivität zu testen. Nur so können Safety und Security angesichts komplexer IT-OT-Umgebungen und einer stetig wachsenden Zahl von Angreifern garantiert werden.
