- IT&Production - https://www.it-production.com -

Security-Konzepte für Automatisierung und Produktion

Pragmatische Lösungen gefragt

Security-Konzepte für Automatisierung und Produktion

Das Thema Security ist in der Automatisierung und Produktion angekommen. Doch vielfach werden punktuelle Aspekte und Maßnahmen fokussiert. Die Herausforderung bei der Sicherstellung der Informationssicherheit besteht jedoch darin, in einer gesamthaften Betrachtung möglichst alle Schwachstellen gegen potenzielle Bedrohungen zu schließen.



Bild: CAT

Beim Erstellen umfassender Sicherheitskonzepte stellt sich immer die Frage, wie Hersteller und Anwender der Automatisierungstechnik das Richtige tun können, um die Schutzziele zu erreichen. Dazu ist es zunächst notwendig, die Betroffenen zu identifizieren, realistische Bedrohungen zu erkennen und auf Basis dieser Informationen das vorhandene Schadenspotenzial abzuschätzen:

1. Betroffene identifizieren

An erster Stelle der Betroffenen stehen die Betreiber von Anlagen. Sie müssen schließlich sicherstellen, dass die Anlagen störungsfrei laufen. Das Problem vieler Betreiber besteht darin, dass sie keine oder wenige Informationen über Security-Eigenschaften der Maschinen und Produkte ihrer Zulieferer haben und sich damit die Absicherung der Anlagen oft als Sisyphus-Arbeit herausstellt. Mittlerweile steigen aber die Anforderungen an zuliefernde Maschinenbauer und Systemintegratoren, Security-Eigenschaften in ihre Gewerke einzubauen und darüber zu informieren. Am Anfang der Wirkungskette stehen die Produktlieferanten, die sich ebenfalls dem Security-Thema stellen müssen, indem sie ihre Produkte geeignet schützen und Maschinenbauer und Systemintegratoren über ihre implementierten Schutzmaßnahmen informieren. Nur wenn alle Beteiligten ihren jeweiligen Beitrag zur Security-Lösung leisten, sind die Lasten sinnvoll verteilt und die Maßnahmen finanzierbar (Bild 1).

2. Bedrohungen erkennen

Bei typischen Bedrohungen fallen sofort die bekannten Gefährdungen durch Viren, Würmer, Trojaner, Hacker oder Phishing ein. In der Automatisierungswelt sorgten in den vergangenen Jahren etwa Stuxnet, Duqu und Flame für Aufmerksamkeit. Einerseits stärkten diese Schadprogramme das Bewusstsein für Security in der Automatisierungstechnik und in den Produktionsbetrieben, andererseits wurden diese Angriffe zum Teil als ‘politische’ Attacken eingeordnet, welche die ‘normale’, produzierende Industrie nicht betreffen würden. Bei der Klassifizierung von Bedrohungen, auf die Betriebe ihre Aufmerksamkeit richten sollten, bietet unter anderem das Regelwerk der IEC62443, in der Security-Level definiert sind, Hilfestellung für Klassifizierung und Risikobetrachtung. Folgende Bedrohungsklassen lassen sich davon ableiten (Bild 2):

Schadenspotenzial ermitteln

In der Security-Diskussion werden oft die spektakulären Fälle diskutiert, die allerdings den kleinsten Teil in der Bedrohungslandschaft ausmachen. Die gelegentlichen und zufälligen Bedrohungen erzeugen hingegen den größten Schaden. Die Schadenspotenziale sind sicherlich bei den Betreibern am größten. Neben dem finanziellen Schaden eines Produktionsausfalles kann sich bei dem Bekanntwerden eines Vorfalls zusätzlich ein gravierender Image-Schaden ergeben. Bei Maschinenbauern, Systemintegratoren und Herstellern steht aktuell an erster Stelle der Image-Schaden. Deswegen sind zum Beispiel Hersteller sehr bestrebt, beim Bekanntwerden von Schwachstellen in ihren Produkten diese möglichst schnell zu schließen.



Beim Vergleich von Bedrohungsklassen im Hinblick auf Eintritts-wahrscheinlichkeit und ‘gefühlte’ Bedrohung zeigt sich: In der Realität sollte das Augenmerk viel stärker auf die einfachen Bedrohungsklassen gelegt werden.
Bild: CAT

Die passende Strategie

Erkennen die Betroffenen das mögliche Auftreten von Bedrohungen und die damit verbundenen Schadenspotenziale, stellt sich die Frage, was im jeweiligen Kontext für die Informationssicherheit getan werden soll. Da jede Maßnahme mit Kosten verbunden ist, besteht die Aufgabe darin, nicht zu viel, nicht zu wenig, sondern das Richtige zu tun.

A) Das Bewusstsein der Beteiligten schärfen
Das Bewusstsein für das Security-Thema wird zunächst mit einer realistischen Beschreibung der Bedrohungslage für einen konkreten Betrachtungsgegenstand − Gerät, Maschine, Anlage − geschärft. Eine Hilfe bei der Einschätzung sind die oben erwähnten Bedrohungsklassen und verfügbare Bedrohungskataloge, wie sie etwa vom Bundesamt für Sicherheit in der Informationstechnik zur Verfügung gestellt werden. Eine weitere Orientierung bieten Gesetze und Richtlinien. Gesetze zeigen auf, dass ein konkreter Handlungsbedarf besteht, Richtlinien bieten Orientierungshilfen, wie Informationssicherheit erreicht werden kann. Im Bereich der Automatisierung sind zwei Richtlinien erwähnenswert:

Weiterhin ist im Team abzustimmen, anhand welcher Richtlinie vorgegangen werden soll. Dafür bietet sich die Richtlinie VDI/VDE 2182 als Vorlage an. Sie beschreibt, welche Maßnahmen zunächst getroffen werden müssen, um dann das Vorgehensmodell zur Verbesserung der Security- Eigenschaften zu durchlaufen.

B) Eine konkrete Analyse vorbereiten
Nachdem die Grundlagen und Randbedingungen für eine Security-Betrachtung gelegt sind, ist es sinnvoll, eine konkrete Anwendung als Pilotprojekt auszuwählen. Dies kann ein Gerät, eine Maschine oder eine Anlage sein. Danach sind die für die anstehende Aufgabe erforderlichen Akteure und Know-how- Träger zu bestimmen , welche die konkrete Bearbeitung durchführen. Das Abarbeiten des Vorgehensmodells ist in mehrere Schritte unterteilt. Die Ergebnisse jedes einzelnen Schrittes sind zu dokumentieren. Im Besonderen ist festzuhalten, auf welchen Grundlagen die Beteiligten zu den jeweiligen Einschätzungen gekommen sind. Dies führt zu vielen Informationen, die strukturiert dokumentiert werden müssen, um sie bei einer geänderten Bedrohungslage wiederverwenden zu können. Eine sehr gute Hilfe kann hierfür ein prozessbegleitendes Tool sein.

C) Richtlinie VDI/VDE 2182 anwenden
Wird die Richtlinie auf einen konkreten Betrachtungsgegenstand angewendet, kann die Untersuchung wertvolle Ergebnisse liefern. Die systematische Vorgehensweise ermöglicht, den security-relevanten Zustand des untersuchten Produktes oder der Anwendung zu beschreiben. Darin werden unter anderem die aktuell relevanten Bedrohungen, geeignete Schutzmaßnahmen und die Priorisierung dieser Schutzmaßnahmen festgehalten. Neben der prozessbegleitenden Dokumentation entsteht eine Dokumentation für Anwender mit den Security-Eigenschaften des Betrachtungsgegenstandes sowie für Lieferanten eine Aufstellung von Security-Anforderungen. Neben diesen technischen Aspekten liefert die Anwendung der Richtlinie vor allem aber Erfahrungen, wie gut diese im jeweiligen Kontext angewendet werden kann. Außerdem wird eine Abschätzung möglich, welche finanziellen und personellen Konsequenzen sich für die Behandlung weiterer Produkte und Anwendungen ergeben.

Aktionismus vermeiden

Bei der Lösung der aktuellen Security-Anforderung in Automatisierung und Produktion ist blinder Aktionismus fehl am Platz. Er kostet viel und birgt die Gefahr, das eigentliche Ziel zu verfehlen. Nichts zu tun ist genauso falsch, weil die bestehenden Herausforderungen nicht gemeistert werden. Wichtig ist eine klar strukturierte Vorgehensweise auf der Grundlage einer verbindlichen Richtlinie zu wählen und diese dann konsequent anzuwenden. Konkrete Anwendungen zeigen, dass die Aufwendungen für konkret zu untersuchende Betrachtungsgegenstände überschaubar sind und dass sich diese Investitionen in Form von besserer Kenntnis des untersuchten Produktes beziehungsweise der untersuchten Anwendung und verbesserten Security-Eigenschaften lohnen.