Risikobasierter Ansatz für die IT-Sicherheit
Werks- und Produktionsleitern kann hier ein Ansatz für das Sicherheitsmanagement weiterhelfen, wie er sich im aktuellen Entwurf des ‚National Institute of Standards and Technology‘ (NIST) zur Cybersicherheit in kritischen Infrastrukturen wiederfindet. Mit diesem lassen sich spezifische Problemstellungen im Fertigungsumfeld erkennen und bewerten. Gleichzeitig können die bereits etablierten IT-Sicherheitsmaßnahmen des Unternehmens bedarfsgerecht weiter verwendet werden. Prozesseigner ist dabei der Produktionsleiter. Er sollte mit der Identifikation der Risiken beginnen und sich danach auf diejenigen konzentrieren, welche ein hohes Schadenspotenzial bezogen auf die IT-Sicherheit aufweisen. Für diese Bereiche lassen sich im Anschluss die Bedrohungen und Schwachstellen unvoreingenommen analysieren und dokumentieren. Hierbei sollten auch die IT-Sicherheitsexperten aus dem Bürokommunikationsumfeld einbezogen werden. Die Führung entsprechender Projekte sollte sich der Produktionsleiter aber nicht ‚aus der Hand nehmen‘ lassen.
Risikosituation als Grundlage für Schutzmaßnahmen
Auf der Basis dieser Analyse können dann Schutzmaßnahmen definiert und verschiedene Kontrolloptionen gegeneinander abgewogen werden. Ausschlaggebend bleibt, dass die gewählten Maßnahmen – egal ob organisatorisch oder technischer Art – auch wirklich die Risiken für das Produktionsnetz minimieren und nicht, inwieweit sie dem bisherigen IT-Sicherheitsregelwerk entsprechen. Unternehmen werden dabei immer wieder feststellen, dass sich Konflikte mit der bestehenden IT-Sicherheitsarchitektur ergeben – etwa im Hinblick auf zeitnahes Einspielen von Sicherheitspatches. Diese Konflikte sollten mit Blick auf die Risiken gelöst und als ein Zeichen für die Ernsthaftigkeit des Vorgehens angesehen werden. Mit der Festlegung der Maßnahmen sollte der Prozess aber auf keinen Fall enden. Da oft die Verfügbarkeit im Vordergrund steht, ist das zeitnahe Erkennen von Sicherheitsvorfällen essenziell.
Erkennen, Behandeln, Wiederherstellen
In der Praxis erweist es sich dabei als sinnvoll, einen produktionsseitigen IT-Sicherheitskoordinator einzusetzen, entsprechende Meldewege zu etablieren und die Kommunikation im Ernstfall zu üben. Abgerundet wird dann das Vorgehen durch Überlegungen, wie ein durch einen Vorfall zum Erliegen gekommener Produktionsprozess zeitgerecht wiederhergestellt werden kann, ohne die Sicherheit weiter zu gefährden. Hier ist eine Einbindung in das Business-Continuity-Konzept des Unternehmens sinnvoll und meist kosteneffizienter als ein eigenes auf die Produktion beschränktes Vorgehen. So können Cybersicherheitsvorfälle gemeinsam mit dem gesamten Unternehmen geübt und eine schnelle Rückkehr zum Normalbetrieb nach Vorfällen gewährleistet werden.
