Unternehmen, die auch künftig am Markt bestehen wollen, brauchen einen sicheren Anlagenbetrieb mit rentablen Systemen, die fit sind für innovative Technologien in der Automation. Neue Systeme verfügen über die erforderlichen technischen Voraussetzungen und Security-Aspekte können bereits in der Planungsphase berücksichtigt werden. Ein sicherer Betrieb von Bestandsanlagen ist dagegen schwieriger umzusetzen.
Der technische Fortschritt bringt neue Anforderungen in Industrieumgebungen. Bestandssysteme, bei denen keine Endpoint Security möglich ist, können dabei zum unkalkulierbaren Risiko für die Anlagenverfügbarkeit werden. Sie fallen durch das Raster der klassischen IT-Security, weil die etablierten Strategien und Konzepte dort nicht greifen.
Den richtigen Umgang mit OT-Systemen über ihren gesamten Lebenszyklus hinweg zu definieren, ist nicht nur aus Security-Sicht und für die Safety wichtig. Damit knappe Budgets für die richtigen Maßnahmen ausgegeben werden und Investitionen nachhaltig sind, sollten Sie sich am echten Bedarf orientieren.
Die Rolle des OT-Asset-Managements
Aus neu wird nicht plötzlich alt und der Betrieb von Bestandssystemen ist nicht zwangsläufig unsicher. Zwischen Greenfield und Brownfield gibt es viele verschiedene Zustände in Ihrem Betrieb und sie ändern sich. Es gilt, notwendige Modernisierungen rechtzeitig und im erforderlichen Umfang durchzuführen und unkritische funktionierende Bestandssysteme im laufenden Betrieb zu halten.
Aber wie weiß man in großen gewachsenen Strukturen, in welche Kategorie ein System fällt?
Ein OT-Asset-Management ist die Grundlage für eine professionelle Betreuung aller OT-Systeme, und zwar von der Inbetriebnahme bis zur Außerbetriebnahme. Schwachstellen wie beispielsweise veraltete Patch-Stände lassen sich damit automatisiert identifizieren. Aber Vorsicht: Um die richtigen Security-Maßnahmen ableiten zu können, ist eine differenzierte Betrachtungsweise notwendig, vor allem bei Systemen, wo Security nicht einfach lokal „nachgerüstet“ werden kann.
Wie wichtig sind aktuelle Versionsstände?
Anders als in der IT sind Downtimes für Patch-Vorgänge und Updates in der OT oft nicht möglich, weil besondere Anforderungen an die Anlagenverfügbarkeit bestehen. In manchen Fällen ist eine Aktualisierung auch gar nicht nötig. Es gibt sogar Fälle, wo Updates kontraproduktiv sind, denn sie können ein Problem verursachen, wo vorher keines war. Ob ein Update durchgeführt werden muss oder nicht, ist eine Frage der Notwendigkeit oder des Mehrwerts, der sich daraus ergibt.
Never touch a running system
Damit ist nicht gemeint, dass generell keine Updates nötig sind, solange ein System läuft. Allerdings kann die folgende Vorgehensweise in der OT in bestimmten Fällen berechtigt sein: Ein System, das zuverlässig funktioniert, kann auch mit sehr alten Betriebssystemversionen weiterbetrieben werden, wenn es sich nicht um eine kritische Komponente handelt und sich die Anforderung an das System nicht ändert.
Als Beispiel dient eine Steuerung in der Logistik, die bewirkt, dass beim Knopfdruck durch einen Mitarbeiter ein Fach in einem Hochregallager angesteuert wird. Dafür muss ein einfacher Steuerungsbefehl wiederkehrend von A nach B oder von B nach A geleitet werden. Der Code umfasst wenige Zeilen und wird auf einer veralteten Windows-Version ausgeführt. Software, Treiber und die Hardware sind aufeinander abgestimmt und funktionieren im Zusammenspiel zuverlässig. Die Verfügbarkeit wird erst gefährdet, wenn ein Teil des funktionierenden Systems verändert wird, etwa durch ein Update des Betriebssystems, das von der alten Hardware nicht mehr unterstützt wird. Ein Tausch alter Hardware durch ein neues Produkt ist nicht in jedem Fall möglich. Es kann gut sein, dass bestimmte Produkte, die findige Mitarbeiter Ihrer Betriebsmannschaft einst zu einer funktionierenden Lösung verbaut haben, nicht mehr auf dem Markt erhältlich sind und ein Ersatz größere Investitionen nach sich ziehen würde.
Eine an sich einfach erscheinende Änderung bei Bestandssystemen kann aufgrund von Abhängigkeiten zu einem Problem werden, das die gesamte Anlage betrifft.
Was heißt in der OT alt?
Systeme anhand ihres Alters oder ihrer Betriebssystemversion zu bewerten und sie entsprechend als Altsysteme oder Legacy-Systeme zu bezeichnen, ist eine Sicht der klassischen IT. In der OT sind Systeme, die zuverlässig und rentabel im Betrieb laufen, schlicht Steuerungstechnik, mit der meist auch viele weitere Jahre gerechnet wird. Erforderliche Maßnahmen, die immer auch Aufwand bedeuten, sind stark an den zu erwartenden Nutzen gekoppelt.
In heutigen Industrieumgebungen passiert es zwar nicht häufig, aber es ist auch keine echte Sensation, auf Systeme zu treffen, die immer noch zuverlässig mit Windows 3.11 oder Windows NT 4.0 betrieben werden. Wann ein System aktualisiert oder getauscht werden muss, hängt davon ab, ob die Funktionalität noch für den Anwendungsfall ausreicht und ob das notwendige Security- und Safety-Niveau aufrechterhalten werden kann.
Neue Anwendungen für Industrie 4.0 sind oftmals Auslöser für Modernisierungen, weil sich der Funktionsumfang erweitert und alte Hardware aktuelle Betriebssystemversionen meist nicht mehr unterstützt.
Wirtschaftlich sinnvoll nach dem Risiko entscheiden
Der richtige Umgang mit Systemen, die man nicht aktualisieren oder kurzfristig ablösen kann, betritt jedes Industrieunternehmen. Es ist ein übergeordnetes Thema.
Was jeweils nötig ist, um den produktiven Betrieb abzusichern, zeigt eine Risikobetrachtung, die Sie mit Hilfe der Daten aus einem OT-Asset-Management durchführen können. Dabei sind zum Beispiel folgende Fragen zu klären:
- Wie relevant ist das System für die Zielerreichung im Unternehmen?
- Welche Funktion hat das System im Produktionsprozess?
- Gibt es Schnittstellen zu anderen Systemen?
- Gibt es einen Backup- & Recovery-Prozess?
- etc.
Entsprechend ihrer Kritikalität sollten Systeme in Kategorien eingeteilt sein, für die angemessene Security-Maßnahmen definiert sind. Das kann zum Beispiel eine eigene Firewall sein oder ein separates Netzsegment.
Basierend auf der Risikobetrachtung können wirtschaftlich sinnvolle Entscheidungen getroffen werden, die für die bestehenden Anforderungen in Ihrem Betrieb angemessen sind. Mit den zur Verfügung stehenden Mitteln soll ein Zustand erreicht werden, bei dem die bestehenden Risiken beherrschbar sind. Eine hundertprozentige Sicherheit wird es nie geben, es bleibt immer ein Restrisiko, das aus Unternehmenssicht vertretbar sein muss.
Das Ergebnis der Risikobetrachtung liefert also drei Möglichkeiten:
Fortführung des Betriebes ohne erforderliche Maßnahmen
Wenn sich die Anforderung an ein System nicht ändert und von seinem Betrieb kein signifikantes Risko ausgeht, kann der Betrieb unverändert fortgesetzt werden. Vorausgesetzt das System wird nicht vernetzt. Weil Security immer ein Prozess ist, sind regelmäßige Überprüfungen angezeigt.
Security-Maßnahmen erforderlich
Wenn ein System, das bisher in sich geschlossen und damit sicher betrieben wurde, vernetzt werden muss, so sind für die Anwendung passende Security-Maßnahmen zu implementieren, entweder lokal, wo dies möglich ist, oder eben durch vorgeschaltete Maßnahmen beispielsweise auf Netzwerkebene. Das betrifft einen Großteil der Systeme in der OT, weil sie eben nicht wie in der IT üblich abgesichert werden können.
Außerbetriebnahme / Tausch
Aus Security-Sicht muss ein System abgeschaltet oder getauscht werden, wenn von seinem Weiterbetrieb ein bedeutendes Risiko ausgeht, das mit Security-Maßnahmen nicht ausreichend kontrolliert werden kann. Das ist der Fall, wenn es zum Beispiel keine Möglichkeit gibt, ein Backup and Recovery durchzuführen.
Für die Außerbetriebnahme sollte ein definierter Prozess im Unternehmen etabliert sein.
Maßnahmen, die an Systemen jeweils vorgenommen werden, sind im OT-Asset-Management zu dokumentieren, damit der aktuelle Stand der OT-Systeme für den Betrieb, die Instandhaltung und andere Bereiche aktuell verfügbar ist.
Den Betrieb von Bestandsanlagen absichern
Wenn Systeme nicht lokal geschützt werden können, dann kann Security durch Maßnahmen erreicht werden, die ganzheitlich und mehrstufig angelegt sind. Das heißt, dass verschiedene technische Maßnahmen sowie Prozesse für sichere Verfahrensweisen etabliert werden und eine organisatorische Verankerung stattfindet. Eine OT-Organisation, die den Betrieb der OT-Assets im Unternehmen verantwortet, kann als zentrale Instanz einen Teil der nachfolgend beschriebenen Maßnahmen umsetzen oder die nötige Unterstützung dafür leisten. Was eine OT-Organisation ausmacht und wie Ihr Unternehmen davon profitiert, beschreiben wir in einem Artikel zum Thema.
Top 10 Security-Maßnahmen für Bestandsanlagen
Standard-Security-Maßnahmen aus der IT sind nur sehr bedingt tauglich für den Einsatz in OT-Bereichen. Security in der OT umzusetzen ist eine komplexe Aufgabe, weil viele Maßnahmen aufeinander aufbauen und ihre Wirksamkeit davon abhängt, wie gut sie im Betrieb eingehalten werden. Weil das manchmal keine Selbstverständlichkeit ist, ist es notwendig, die Einhaltung aktiv sicherzustellen und gegebenenfalls zu kontrollieren.
1. Rollen und Verantwortlichkeiten
Definieren und dokumentieren Sie, wer für jedes System jeweils zuständig und verantwortlich ist. Dazu gehört explizit auch die Verantwortung für Security, und sorgen Sie dafür, dass die Informationen verfügbar sind.
2. Awareness durch regelmäßige Trainings
Wenn man versteht, warum etwas, das man tun soll, wichtig ist, dann achtet man besser auf eine korrekte Ausführung. Für die Wirksamkeit von Security-Maßnahmen ist das besonders wichtig. Betriebspersonal, Instandhalter und jeder, der aktiv an OT-Systemen arbeitet, sollte fortlaufend geschult werden, damit Security zur Selbstverständlichkeit wird. Trainings sollten so organisiert sein, dass die Teilnahme daran verbindlich ist.
3. Incident Response
Definieren und kommunizieren Sie Prozesse und Vorgehensweisen im Falle eines Vorfalls. Es muss klar sein, was bei entsprechenden Anzeichen auf einen Cyberangriff konkret zu tun ist, allem voran, dass sofort die Cybersecurity-Abteilung informiert werden muss. Dann sind die Chancen groß, dass Schäden begrenzt werden können.
4. Asset Inventory
Alle Assets zu identifizieren, die in der Betriebsverantwortung der OT liegen und aktuelle Standard-Informationen dazu verfügbar zu haben, ist eine wichtige Basis,. Darauf setzen viele Security-Maßnahmen auf: Man kann nur schützen, was man kennt.
5. Backup und Restore
Etablieren Sie Prozesse, um wichtige Daten regelmäßig zu sichern und im Bedarfsfall schnell wiederherstellen zu können. Je schneller Sie nach einem Vorfall den Betrieb wieder aufnehmen können, desto geringer sind die Schäden.
Störungen sind nicht immer nur Folgen von Cyberattacken, auch technische Fehlfunktionen können zu Ausfällen im IT-Betrieb führen. Je weniger Datenverlust Sie effektiv haben, desto besser.
6. Netzsegmentierung
Schränken Sie die Kommunikation nicht nur vom Internet ins Werk, sondern auch innerhalb des Netzwerks auf ein notwendiges Minimum ein und regeln Sie den Informationsfluss zu den Assets so granular wie möglich. In der OT kann nicht nur Schadcode eine verheerende Wirkung haben, sondern auch falsche Informationen oder Werte, die durch Unachtsamkeit oder Fehlfunktionen im Produktionsprozess an einzelne Systeme geleitet werden. Potenzielle Störungen sollten sich nicht im Netzwerk ausbreiten können, sondern durch eine entsprechende Netzwerkarchitektur beschränkt bleiben.
7. Portable Media absichern
Auch wenn Sie denken, dass inzwischen jeder weiß, dass man fremde USB-Sticks nicht an Anlagen anstecken darf, es passiert trotzdem immer wieder! Schließen Sie auch mobile Geräte von Externen oder private Geräte, die Mitarbeiter mitbringen, in die Sicherheitsbetrachtung ein.
8. Secure Configuration
Nutzen Sie wo immer möglich eine Minimalkonfiguration, um die Angriffsfläche zu verringern. Aktivieren Sie die Security-Features, über die Ihre Steuerungen verfügen.
Achten Sie auf Passwortsicherheit sowohl bei der Erstellung und beim regelmäßigen Wechsel als auch bei der Hygiene, wenn es beispielsweise einen Personalwechsel bei ihrem externen Dienstleister gibt.
Viele Aspekte, die Systeme härten, sind durch organisatorische Maßnahmen zu erreichen!
9. Patching und Updatemanagement
Es kann Sinn machen, nicht zu patchen. Aber wo es möglich ist und sich ein Nutzen draus ergibt, sollten Aktualisierungen der Software vorgenommen werden, um Sicherheitslücken zu schließen.
10. Log Collection & Detection
Sammeln Sie Log-Daten und werten Sie diese im Rahmen der Anomalieerkennung aus. Was ist im Falle von Abweichungen von wem zu tun? Sorgen Sie dafür, dass die nötige Expertise verfügbar ist und die Verantwortung eindeutig zugewiesen ist.
OT-Security ist eine anhaltende Aufgabe. Ob Maßnahmen noch ausreichen oder ob Anpassungen erforderlich sind, ist regelmäßig zu prüfen. Übrigens steht in der Liste der wichtigsten Maßnahmen der Mensch und die Organisation nicht ohne Grund ganz oben. Zwar ist Absicherung auf Netzwerkebene der größte Hebel, aber das, was relativ einfach umzusetzen ist, hat bereits eine große Wirkung.
Hilfreiches für Ihr Projekt
Security-Projekte kosten viel Zeit und Geld. Dass der Projektverlauf erfolgreich ist und Sie Ihr Ziel erreichen, hängt von vielen Faktoren ab. Achten Sie darauf, den richtigen Fokus bei der Konzipierung der Maßnahmen für Ihr Unternehmen zu finden. Es ist wichtig zu wissen, wo die größten Hebel sind, um Ihren Betrieb abzusichern. Außerdem sollten Sie die erforderlichen Aufwände und den erwarteten Nutzen für Ihr Management konkret darstellen.
Denken Sie langfristig: Es gilt nicht nur, ein Security-Niveau aufzubauen, das den Anforderungen in Ihrem Unternehmen entspricht, sondern auch, dass dieses Niveau künftig aufrechterhalten werden kann.
Expertise, Ressourcen und professionelle Vorgehensweise
Im Projektteam brauchen Sie sowohl Expertise für IT-spezifische Themen als auch Know-how für OT-Anforderungen. Setzen Sie Ihr Projektteam dementsprechend zusammen und berücksichtigen Sie die personellen Aufwände, die die Projektarbeit bedeutet. On top sind weder ein Projektmanagement noch größere Arbeitspakete für die Projektarbeit zu leisten. Holen Sie sich bei Bedarf externe Unterstützung und nutzen Sie praktische Arbeitsmaterialen wie beispielsweise Templates, um Ist-Zustände oder Anforderungen zu konsolidieren.
Haben Sie Fragen dazu? Lassen Sie uns darüber sprechen!
Fazit
Für die Absicherung von Bestandssystemen gibt es keine betriebsfertige Lösung. Jedes Unternehmen muss den für die eigenen Anforderungen angemessenen Umgang damit finden und den Betrieb heterogener gewachsener Anlagen sicher und zukunftsfähig auslegen.
Damit Investitionen nachhaltig sind, sollten Security-Maßnahmen für Bestandssysteme auf einer differenzierten Betrachtung und auf Basis einer Risikoanalyse erfolgen. Es führt kein Weg an der Professionalisierung des IT-Betriebs in der OT vorbei!
Der Industrial Security Guide zum schnellen Einstieg
CEO & Founder
Industrie 4.0, Digitalisierung u. steigende Vernetzung. Die OT- und OT-Security Welt wächst stetig weiter, da ist ein schneller Einstieg manchmal sehr schwer.
Aus diesem Grund haben haben wir einen Einstiegsguide zur Industrial Security geschrieben, der ihnen kurz und knapp die wichtigsten Themen nahelegt.
Hier gehts zum Download!
