back
Login to SMS group Connect

Veranstaltungs-Code erhalten?

Bitte geben Sie den 8-stelligen Registrierungs-Code vollständig ein.

Düsseldorf, 26. November 2018

IT und OT brauchen eine gemeinsame Sicherheitskultur!

Im Rahmen von Industrie 4.0 wachsen die bislang getrennten Bereiche von Information Technology (IT) und Operational Technology (OT) immer mehr zusammen. Die beiden größten Probleme dabei sind heute eine meist noch mangelhafte Kommunikation sowie ein integrierter Sicherheitsansatz für IT/OT-Systeme. Um diese Herausforderungen zu meistern, müssen Industrieunternehmen zunächst eine übergreifende und gemeinsame Sicherheitskultur schaffen.

Über die Unterschiede zwischen IT und OT  haben wir bereits im Juli 2018 in einem Beitrag berichtet. Und hier wurde schon klar, dass Sicherheitsbedenken eine große Rolle spielen. Sie müssen adressiert werden. Denn die zunehmende Vernetzung von Maschinen einerseits und Partnern innerhalb der Wertschöpfungsnetze andererseits, ist nicht aufzuhalten. Eine Kopf-in-den Sand-Herangehensweise hilft hier also nicht.
Klar ist auch, dass die OT-Kollegen die größeren Herausforderungen zu meistern haben. Denn sie waren es bislang gewohnt, in relativ abgeschotteten Umgebungen zu arbeiten, die nun zunehmend geöffnet und vernetzt werden. Und ein Angriff auf die OT-Umgebung kann weitreichendere Folgen haben, als es die IT-Kollegen bisher kennen. Genau hier ist der Ansatzpunkt, den beide Abteilungen - IT und OT - gemeinsam nutzen können und müssen. Nur so können Industrieunternehmen den Fortschritt von Industrie 4.0 meistern, wettbewerbsfähig bleiben und zukünftigen Sicherheitsbedrohungen begegnen. 

Gemeinsame Sicherheitskultur schaffen

Zunächst sollten Industrieunternehmen intern eine gemeinsame Kultur für den Umgang mit neuen Sicherheitsbedrohungen schaffen. Dazu gilt es, sowohl die IT- als auch die OT-Kollegen gemeinsam an einen Tisch zu bringen. Die IT-Kollegen kennen bereits die Gefahren und Herausforderungen, die sich durch eine zunehmend vernetzte Infrastruktur ergeben. Sie können helfen, Awareness für moderne Sicherheitsbelange zu schaffen. Für die OT-Kollegen standen bisher meist ein laufender Betrieb und die Funktionstüchtigkeit der Anlagen im Vordergrund. Doch zukünftig gewinnen beispielsweise schnelleres Patch Management, höhere Netzwerksicherheit und eine bessere Zugriffskontrolle im OT-Bereich ganz klar an Bedeutung.
Schon der unachtsame Umgang mit  Passwörtern kann Cyberkriminellen Tür und Tor öffnen. Oder eine schwache Zugriffskontrolle von Drittanbietern wie Lieferanten und Partnern. Die größte Sicherheitsschwachstelle bildet also momentan die Mensch-Maschine-Schnittstelle (HMI). Etwas übertrieben formuliert geht es hierbei oft um schlecht programmierte Software. Sie läuft schlimmstenfalls auf einem veralteten Betriebssystem und ist durch Dritte über ein nicht segmentiertes Netzwerk erreichbar. Kurz gesagt: Ein Traum für jeden Hacker. 

OT gerät ins Visier der Hacker

Nun hatten Hacker bislang die OT-Netze noch nicht so sehr im Visier. Doch das ändert sich durch die zunehmende Vernetzung über das Internet. Bisher fokussieren sich die Angriffe der Cyberkriminellen im OT-Bereich zwar noch vornehmlich auf den Energiesektor. Das zeigen Angriffe wie Industroyer, der 2016 einen ukrainischen Energieversorger attackierte. Auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnte bereits 2017 mehrere hundert Unternehmen aus der Energiebranche vor möglichen Angriffen. Die aktuellste Meldung stammt vom Juni 2018. Darin geht das BSI davon aus, dass deutsche Unternehmen aus der Energiebranche Ziel einer groß angelegten weltweiten Cyber-Angriffskampagne sind.
Doch auch andere Systeme sind längst im Visier der Hacker. So beispielsweise die Triconex Safety Integrated Systems Controller von Schneider Electric. Diese Sicherheitssteuerungen für Industriemaschinen wurden erst kürzlich von einer neuen Malware namens Trisis/Triton angegriffen. Experten der Sicherheitsunternehmen FireEye und Dragon entdeckten die Schadsoftware. Zwar löste die Malware in diesem aktuellen Fall lediglich eine Betriebsunterbrechung aus. Doch die Forscher gehen davon aus, dass die Schadsoftware mit der klaren Absicht entwickelt wurde, eine industrielle Anlage physisch zu beschädigen. 

Integrierter Sicherheitsansatz nötig

Im IIoT-Zeitalter ist es faktisch nur eine Frage der Zeit, bis Hacker Interesse daran entwickeln ganze Produktionsstraßen zu manipulieren. Industrieunternehmen sollten sich deshalb schon jetzt damit befassen, einen integrierten Sicherheitsansatz für ihre IT/OT-Umgebungen zu schaffen. Besonderes Augenmerk sollte immer auch auf die jeweiligen Schnittstellen gelegt werden - vor allem auf die zwischen IT und OT. Denn hier kommt es am ehesten zu Sicherheitslücken. Zudem sollten die Einkäufer im OT-Bereich zukünftig auf eine zunehmende Kompatibilität der Komponenten im Sinne eines integrierten Sicherheitsansatzes achten. Eine Ist-Analyse hilft zunächst bei der Bestandsaufnahme.
Ein weiterer Schritt ist es, die gesamte Angriffsfläche der Organisation zu kennen. Das umfasst heute nicht mehr nur die physische IT und OT im Unternehmen. Es gilt vielmehr, auch moderne Multi-Cloud-Infrastrukturen sowie die Zugriffsrechte von Dritten wie Lieferanten und Partnern zu berücksichtigen. SMS digital setzt hier beispielsweise mit der Plattform mySMS group und den unterschiedlichen Anwendungen von Anfang auf maximale Sicherheit.
So erfolgt die Plattform-Produkt-Kommunikation zwischen dem Industrie-App-Store und den Apps ausschließlich verschlüsselt über SSL/TLS-Verbindungen. Zusätzlich ist sie über ein strenges Zugriffs- und Benutzerverwaltungssystem abgesichert. Für die Authentifizierung erhält der Nutzer nach dem Login einen signierten und verschlüsselten Zugriffs-Token. Darüber hinaus werden alle Daten nicht nur verschlüsselt übertragen, sondern auch verschlüsselt abgelegt. Das bietet Industrieunternehmen ein Höchstmaß an Sicherheit beim Zugriff auf Anwendungen über die Cloud.   

Experten Know-how nutzen

Durch die digitale Transformation ergeben sich für Industrieunternehmen im Sicherheitsbereich viele neue Herausforderungen, die nicht zu ihren Kernkompetenzen zählen. Sie tuen also gut daran, sich Unterstützung von externen Experten zu holen, die auf Sicherheitsberatung spezialisiert sind. Verbände wie der VDMA oder das BSI können ebenfalls hilfreiche Quellen sein. Sie haben in der Regel Ansprechpartner in ihren Teams, die sich gezielt dem Thema Sicherheit in der Industrie 4.0 widmen.
Der Verband der Elektrotechnik Elektronik Informationstechnik (VDE) hat sogar extra eine Lösung für KMUs erarbeitet: Er bietet kleinen und mittelständischen Unternehmen eine CERT-Plattform an, um Cyber-Angriffen zu begegnen. Spezialisierte Teams, die Computer Emergency Response Teams (CERT) stehen KMUs als Kooperationspartner über Organisationsgrenzen hinweg zur Seite.
Es gibt auch international tätige Organisationen und Experten, die dabei helfen aktuelle Sicherheitslücken in OT-Systemen im Auge zu behalten. Das Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) ist beispielsweise in den USA für den Schutz kritischer Infrastrukturen zuständig. Es informiert auch über SCADA/ICS-bezogene Sicherheitslücken, so dass diese schnellstmöglich geschlossen werden können. Auch das SANS Institute veröffentlicht regelmäßig aktuelle Forschungsergebnisse. Die genossenschaftlich organisierte Forschungs- und Ausbildungsorganisation bietet zusätzlich spezielle Sicherheitstrainings für den OT-Bereich an.