Wenn Patchen nicht geht: Effektive Maßnahmen für den sicheren Betrieb Ihrer Bestandsanlagen

Inhaltsverzeichnis

    Unternehmen, die auch künftig am Markt bestehen wollen, brauchen einen sicheren Anlagenbetrieb mit rentablen Systemen, die fit sind für innovative Technologien in der Automation. Während neue Systeme über die erforderlichen technischen Voraussetzungen verfügen und Security-Aspekte bereits in der Planungsphase berücksichtigt werden können, ergibt sich für Bestandsanlagen älteren Baujahrs eine ungleich schwierigere Ausgangslage.

    Wer Modernisierungen verschläft, gefährdet seine Wettbewerbsfähigkeit.

    Der technische Fortschritt bringt neue Anforderungen in Industrieumgebungen. Bestandssysteme, bei denen keine Endpoint Security möglich ist, können dabei zum unkalkulierbaren Risiko für die Anlagenverfügbarkeit werden. Sie fallen durch das Raster der klassischen IT-Security, weil die etablierten Strategien und Konzepte dort nicht greifen.

    Den richtigen Umgang mit OT-Systemen über ihren gesamten Lebenszyklus hinweg zu definieren, ist nicht nur aus Security-Sicht und für die Safety wichtig. Damit knappe Budgets für die richtigen Maßnahmen ausgegeben werden und Investitionen nachhaltig sind, sollten Sie sich am echten Bedarf orientieren.

    Die Rolle des OT-Asset-Managements

    Aus neu wird nicht plötzlich alt und der Betrieb von Bestandssystemen ist nicht zwangsläufig unsicher. Zwischen Greenfield und Brownfield gibt es viele verschiedene Zustände in Ihrem Betrieb und sie ändern sich. Es gilt, notwendige Modernisierungen rechtzeitig und im erforderlichen Umfang durchzuführen und unkritische funktionierende Bestandssysteme im laufenden Betrieb zu halten.

    Aber wie weiß man in großen gewachsenen Strukturen, in welche Kategorie ein System fällt?

    Ein OT-Asset-Management ist die Grundlage für eine professionelle Betreuung aller OT-Systeme, und zwar von der Inbetriebnahme bis zur Außerbetriebnahme. Schwachstellen wie beispielsweise veraltete Patch-Stände lassen sich damit automatisiert identifizieren. Aber Vorsicht: Um die richtigen Security-Maßnahmen ableiten zu können, ist eine differenzierte Betrachtungsweise notwendig, vor allem bei Systemen, wo Security nicht einfach lokal „nachgerüstet“ werden kann.

    Sind aktuelle Versionsstände ein Muss für den sicheren Betrieb?

    Anders als in der IT sind Downtimes für Patch-Vorgänge und Updates in der OT oft nicht möglich, weil besondere Anforderungen an die Anlagenverfügbarkeit bestehen. In manchen Fällen ist eine Aktualisierung auch gar nicht nötig. Es gibt sogar Fälle, wo Updates kontraproduktiv sind, denn sie können ein Problem verursachen, wo vorher keines war. Ob ein Update durchgeführt werden muss oder nicht, ist eine Frage der Notwendigkeit oder des Mehrwerts, der sich daraus ergibt.

    Never touch a running system

    Damit ist nicht gemeint, dass generell keine Updates nötig sind, solange ein System läuft, sondern folgende Vorgehensweise, die in der OT in bestimmten Fällen berechtigt sein kann: Ein System, das zuverlässig funktioniert, kann auch mit sehr alten Betriebssystemversionen weiterbetrieben werden, wenn es sich nicht um eine kritische Komponente handelt und sich die Anforderung an das System nicht ändert.

    Als Beispiel dient eine Steuerung in der Logistik, die bewirkt, dass beim Knopfdruck durch einen Mitarbeiter ein Fach in einem Hochregallager angesteuert wird. Dafür muss ein einfacher Steuerungsbefehl wiederkehrend von A nach B oder von B nach A geleitet werden. Der Code umfasst wenige Zeilen und wird auf einer veralteten Windows-Version ausgeführt. Software, Treiber und die Hardware sind aufeinander abgestimmt und funktionieren im Zusammenspiel zuverlässig. Die Verfügbarkeit wird erst gefährdet, wenn ein Teil des funktionierenden Systems verändert wird, etwa durch ein Update des Betriebssystems, das von der alten Hardware nicht mehr unterstützt wird. Ein Tausch alter Hardware durch ein neues Produkt ist nicht in jedem Fall möglich. Es kann gut sein, dass bestimmte Produkte, die findige Mitarbeiter Ihrer Betriebsmannschaft einst zu einer funktionierenden Lösung verbaut haben, nicht mehr auf dem Markt erhältlich sind und ein Ersatz größere Investitionen nach sich ziehen würde.

    Eine an sich einfach erscheinende Änderung bei Bestandssystemen kann aufgrund von Abhängigkeiten zu einem Problem werden, das die gesamte Anlage betrifft.

    Was heißt in der OT alt?

    Systeme anhand ihres Alters oder ihrer Betriebssystemversion zu bewerten und sie entsprechend als Altsysteme oder Legacy-Systeme zu bezeichnen, ist eine Sicht der klassischen IT. In der OT sind Systeme, die zuverlässig und rentabel im Betrieb laufen, schlicht Steuerungstechnik, mit der meist auch viele weitere Jahre gerechnet wird. Erforderliche Maßnahmen, die immer auch Aufwand bedeuten, sind stark an den zu erwartenden Nutzen gekoppelt.

    In heutigen Industrieumgebungen passiert es zwar nicht häufig, aber es ist auch keine echte Sensation, auf Systeme zu treffen, die immer noch zuverlässig mit Windows 3.11 oder Windows NT 4.0 betrieben werden. Wann ein System aktualisiert oder getauscht werden muss, hängt davon ab, ob die Funktionalität noch für den Anwendungsfall ausreicht und ob das notwendige Security- und Safety-Niveau aufrechterhalten werden kann.

    Neue Anwendungen für Industrie 4.0 sind oftmals Auslöser für Modernisierungen, weil sich der Funktionsumfang erweitert und alte Hardware meist aktuelle Betriebssystemversionen nicht mehr unterstützt.

    Risikobetrachtung als Basis wirtschaftlich sinnvoller Entscheidungen

    Der richtige Umgang mit Systemen, die man nicht aktualisieren oder kurzfristig ablösen kann, ist ein übergeordnetes Thema, denn davon ist jedes Industrieunternehmen betroffen.

    Was jeweils nötig ist, um den produktiven Betrieb abzusichern, zeigt eine Risikobetrachtung, die Sie mit Hilfe der Daten aus einem OT-Asset-Management durchführen können. Dabei sind zum Beispiel folgende Fragen zu klären:

    • Wie relevant ist das System für die Zielerreichung im Unternehmen?
    • Welche Funktion hat das System im Produktionsprozess?
    • Gibt es Schnittstellen zu anderen Systemen?
    • Gibt es einen Backup & Recovery Prozess?
    • etc.

    Entsprechend ihrer Kritikalität sollten Systeme in Kategorien eingeteilt sein, für die angemessene Security-Maßnahmen definiert sind. Das kann zum Beispiel eine eigene Firewall sein oder ein separates Netzsegment.

    Basierend auf der Risikobetrachtung können wirtschaftlich sinnvolle Entscheidungen getroffen werden, die für die bestehenden Anforderungen in Ihrem Betrieb angemessen sind. Mit den zur Verfügung stehenden Mitteln soll ein Zustand erreicht werden, bei dem die bestehenden Risiken beherrschbar sind. Eine hundertprozentige Sicherheit wird es nie geben, es bleibt immer ein Restrisiko, das aus Unternehmenssicht vertretbar sein muss.

    Das Ergebnis der Risikobetrachtung liefert also drei Möglichkeiten:

    Fortführung des Betriebes ohne erforderliche Maßnahmen

    Wenn sich die Anforderung an ein System nicht ändert und von seinem Betrieb kein signifikantes Risko ausgeht, kann der Betrieb unverändert fortgesetzt werden. Vorausgesetzt das System wird nicht vernetzt. Weil Security immer ein Prozess ist, sind regelmäßige Überprüfungen angezeigt.

    Security-Maßnahmen erforderlich

    Wenn ein System, das bisher in sich geschlossen und damit sicher betrieben wurde, vernetzt werden muss, so sind für die Anwendung passende Security-Maßnahmen zu implementieren, entweder lokal, wo dies möglich ist, oder eben durch vorgeschaltete Maßnahmen beispielsweise auf Netzwerkebene. Das betrifft einen Großteil der Systeme in der OT, weil sie eben nicht wie in der IT üblich abgesichert werden können.

    Außerbetriebnahme / Tausch

    Aus Security-Sicht muss ein System abgeschaltet oder getauscht werden, wenn von seinem Weiterbetrieb ein bedeutendes Risiko ausgeht, das mit Security-Maßnahmen nicht ausreichend kontrolliert werden kann. Das ist der Fall, wenn es zum Beispiel keine Möglichkeit gibt, ein Backup and Recovery durchzuführen.

    Für die Außerbetriebnahme sollte ein definierter Prozess im Unternehmen etabliert sein.

    Maßnahmen, die an Systemen jeweils vorgenommen werden, sind im OT-Asset-Management zu dokumentieren, damit der aktuelle Stand der OT-Systeme für den Betrieb, die Instandhaltung und andere Bereiche aktuell verfügbar ist.

    Den Betrieb von Bestandsanlagen absichern

    Wenn Systeme nicht lokal geschützt werden können, dann kann Security durch Maßnahmen erreicht werden, die ganzheitlich und mehrstufig angelegt sind. Das heißt, dass verschiedene technische Maßnahmen sowie Prozesse für sichere Verfahrensweisen etabliert werden und eine organisatorische Verankerung stattfindet. Eine OT-Organisation, die den Betrieb der OT-Assets im Unternehmen verantwortet, kann als zentrale Instanz einen Teil der nachfolgend beschriebenen Maßnahmen umsetzen oder die nötige Unterstützung dafür leisten. Was eine OT-Organisation ausmacht und wie Ihr Unternehmen davon profitiert, beschreiben wir in einem Artikel zum Thema.

    Top 10 Security-Maßnahmen für Bestandsanlagen

    Standard-Security-Maßnahmen aus der IT sind nur sehr bedingt tauglich für den Einsatz in OT-Bereichen. Security in der OT umzusetzen ist eine komplexe Aufgabe, weil viele Maßnahmen aufeinander aufbauen und ihre Wirksamkeit davon abhängt, wie gut sie im Betrieb eingehalten werden. Weil das manchmal keine Selbstverständlichkeit ist, ist es notwendig, die Einhaltung aktiv sicherzustellen und gegebenenfalls zu kontrollieren.

    1. Rollen und Verantwortlichkeiten

    Definieren und dokumentieren Sie Zuständigkeit und Verantwortung für jedes System, dazu gehört explizit auch die Verantwortung für Security, und sorgen Sie dafür, dass die Informationen verfügbar sind.

    2. Awareness durch regelmäßige Trainings

    Wenn man versteht, warum etwas, das man tun soll, wichtig ist, dann achtet man besser auf eine korrekte Ausführung. Für Security-Maßnahmen ist das besonders wichtig. Betriebspersonal, Instandhalter und jeder, der aktiv an OT-Systemen arbeitet, sollte fortlaufend geschult werden, damit Security zur Selbstverständlichkeit wird. Trainings sollten so organisiert sein, dass die Teilnahme daran verbindlich ist.

    3. Incident Response

    Definieren und kommunizieren Sie Prozesse und Vorgehensweisen im Falle eines Vorfalls. Es muss klar sein, was bei entsprechenden Anzeichen auf einen Cyberangriff konkret zu tun ist und dass sofort die Cybersecurity-Abteilung informiert werden muss. Dann sind die Chancen groß, dass Schäden begrenzt werden können.

    4. Asset Inventory

    Alle Assets zu identifizieren, die in der Betriebsverantwortung der OT liegen und aktuelle Standard-Informationen dazu verfügbar zu haben, ist eine wichtige Basis, auf der viele Security-Maßnahmen aufsetzen. Man kann nur schützen, was man kennt.

    5. Backup und Restore

    Etablieren Sie Prozesse, um wichtige Daten regelmäßig zu sichern und im Bedarfsfall schnell wiederherstellen zu können. Je schneller Sie nach einem Vorfall den Betrieb wieder aufnehmen können, desto geringer sind die Schäden.

    Störungen sind nicht immer nur Folgen von Cyberattacken, auch technische Fehlfunktionen können zu Ausfällen im IT-Betrieb führen. Je weniger Datenverlust Sie effektiv haben, desto besser.

    6. Netzsegmentierung

    Schränken Sie die Kommunikation nicht nur vom Internet ins Werk, sondern auch innerhalb des Netzwerks auf ein notwendiges Minimum ein und regeln Sie den Informationsfluss zu den Assets so granular wie möglich. In der OT kann nicht nur Schadcode eine verheerende Wirkung haben, sondern auch falsche Informationen oder Werte, die durch Unachtsamkeit oder Fehlfunktionen im Produktionsprozess an einzelne Systeme geleitet werden. Potenzielle Störungen sollten sich nicht im Netzwerk ausbreiten können, sondern durch eine entsprechende Netzwerkarchitektur beschränkt bleiben.

    7. Portable Media absichern

    Auch wenn Sie denken, dass inzwischen jeder weiß, dass man fremde USB-Sticks nicht an Anlagen anstecken darf, es passiert trotzdem immer wieder! Schließen Sie auch mobile Geräte von Externen oder private Geräte, die Mitarbeiter mitbringen, in die Sicherheitsbetrachtung ein.

    8. Secure Configuration

    Nutzen Sie wo immer möglich eine Minimalkonfiguration, um die Angriffsfläche zu verringern. Aktivieren Sie die Security-Features, über die Ihre Steuerungen verfügen.

    Achten Sie auf Passwortsicherheit sowohl bei der Erstellung und beim regelmäßigen Wechsel als auch bei der Hygiene, wenn es beispielsweise einen Personalwechsel bei ihrem externen Dienstleister gibt.

    Viele Aspekte, die Systeme härten, sind durch organisatorische Maßnahmen zu erreichen.

    9. Patching und Updatemanagement

    Es kann Sinn machen, nicht zu patchen. Aber wo es möglich ist und sich ein Nutzen draus ergibt, sollten Aktualisierungen der Software vorgenommen werden, um Sicherheitslücken zu schließen.

    10. Log Collection & Detection

    Sammeln Sie Log-Daten und werten Sie diese im Rahmen der Anomalieerkennung aus. Was ist im Falle von Abweichungen von wem zu tun? Sorgen Sie dafür, dass die nötige Expertise verfügbar ist und die Verantwortung eindeutig zugewiesen ist.

    OT-Security ist eine anhaltende Aufgabe. Ob Maßnahmen noch ausreichen oder ob Anpassungen erforderlich sind, ist regelmäßig zu prüfen. Übrigens steht in der Liste der wichtigsten Maßnahmen der Mensch und die Organisation nicht ohne Grund ganz oben. Zwar ist Absicherung auf Netzwerkebene der größte Hebel, aber das, was relativ einfach umzusetzen ist, hat bereits eine große Wirkung.

    Hilfreiches für Ihr Projekt

    Security-Projekte kosten viel Zeit und Geld. Dass der Projektverlauf erfolgreich ist und Sie Ihr Ziel erreichen, hängt von vielen Faktoren ab. Achten Sie darauf, den richtigen Fokus bei der Konzipierung der Maßnahmen für Ihr Unternehmen zu finden. Es ist wichtig zu wissen, wo die größten Hebel sind, um Ihren Betrieb abzusichern. Außerdem sollten Sie die erforderlichen Aufwände und den erwarteten Nutzen für Ihr Management konkret darstellen.

    Denken Sie langfristig: Es gilt nicht nur, ein Security-Niveau aufzubauen, das den Anforderungen in Ihrem Unternehmen entspricht, sondern auch, dass dieses Niveau künftig aufrechterhalten werden kann.

    Expertise, Ressourcen und professionelle Vorgehensweise

    Im Projektteam brauchen Sie sowohl Expertise für IT-spezifische Themen als auch Know-how für OT-Anforderungen. Setzen Sie Ihr Projektteam dementsprechend zusammen und berücksichtigen Sie die personellen Aufwände, die die Projektarbeit bedeutet. On top sind weder ein Projektmanagement noch größere Arbeitspakete für die Projektarbeit zu leisten. Holen Sie sich bei Bedarf externe Unterstützung und nutzen Sie praktische Arbeitsmaterialen wie beispielsweise Templates, um Ist-Zustände oder Anforderungen zu konsolidieren.

    Haben Sie Fragen dazu? Lassen Sie uns darüber sprechen!

    Fazit

    Für die Absicherung von Bestandssystemen gibt es keine betriebsfertige Lösung. Jedes Unternehmen muss den für die eigenen Anforderungen angemessenen Umgang damit finden und den Betrieb heterogener gewachsener Anlagen sicher und zukunftsfähig auslegen. Damit Investitionen nachhaltig sind, sollten Security-Maßnahmen für Bestandssysteme auf einer differenzierten Betrachtung und auf Basis einer Risikoanalyse erfolgen. Es führt kein Weg an der Professionalisierung des IT-Betriebs in der OT vorbei!

    Praxistipp

    Achten Sie bei Ihren Security-Projekten auf den roten Faden und starten Sie mit Schritten, die mit angemessenem Aufwand eine echte Wirkung erzielen. Definieren Sie Ziele, die Sie in einem für Sie passenden Zeitrahmen erreichen können. Weniger ist mehr, wenn dafür die Maßnahmen konsequent umgesetzt werden.

    Möchten Sie noch mehr über den sicheren Betrieb für Bestandsanlagen erfahren? Erhalten Sie die wichtigsten Erkenntnisse und Best Practices aus der Zusammenarbeit mit zahlreichen Industrieunternehmen bequem in Ihr E-Mail-Postfach. Oder starten Sie direkt in die Diskussion mit uns!

    Schreiben Sie einen Kommentar

    Ihre E-Mail-Adresse wird nicht veröffentlicht.

    Der große Industrial Security Einsteiger-Guide

    Erhalten Sie in unserem Einsteigerguide eine unverfälschte und verständliche Orientierung in die Industrial Security. Ganz ohne Buzzword-Bingo, vertriebsgeprägten Botschaften und Technik-Kauderwelsch. 

    Ihre Daten sind bei uns sicher. Datenschutzerklärung
    Whitepaper herunterladen!

    Erhalten Sie in unserem Einsteigerguide eine unverfälschte und verständliche Orientierung in die Industrial Security. Ganz ohne Buzzword-Bingo, vertriebsgeprägten Botschaften und Technik-Kauderwelsch. 

    Ihre Daten sind bei uns sicher. Datenschutzerklärung
    Industrial Security auf den Punkt gebracht

    Erhalten Sie den Einstieg in die Industrial Security und profitieren Sie von Best-Practices aus der Zusammenarbeit mit zahlreichen Industrieunternehmen bequem in Ihr Email-Postfach.

    Ihre Daten sind bei uns sicher. Datenschutzerklärung