Bestandsaufnahme: Cybersecurity in der Industrie

Mehr Sicherheit ohne Quick-Fix

Wie erzeugt man Sicherheit in einer Welt voller – oft wenig bekannter – Unsicherheiten und vielfach nicht eindeutiger Abhängigkeiten und Beziehungen? Wie kann dies vor dem Hintergrund zunehmender externer Verbindungen und Verbindungen zwischen IT und OT, steigenden Notwendigkeiten für zwischenbetrieblichen Datenaustausch und Bereitstellung von Fernwartungsoptionen sowie bekannter aber vielfach nicht oder nur unvollständig gepatchter Schwachstellen in Anlagen und Komponenten erreicht werden?

Der wesentliche, erste Schritt lautet:

Mehr Sichtbarkeit herstellen und folgende Fragen besonders berücksichtigen:

• Sind alle Geräte und Systeme auf Fabrikebene bekannt?

• Welche regulären Verbindungen haben diese Systeme/müssen diese Systeme haben, um funktionieren zu können (permanent wie auch temporär)?

• Welche Kommunikationsprotokolle sind mit welchen Komponenten etabliert?

• Wie sieht – in Konsequenz zu den obigen Fragen – der sogenannte „Baseline-Traffic“ aus (Verkehrsmuster im Tages- und Wochenverlauf)?

• Wie läuft das Zusammenspiel von IT- und OT-Sicherheit im Unternehmen?

• Sind die „Kronjuwelen“ (Systeme bei deren Ausfall nichts mehr geht) bekannt?

Ist diese Mindestsichtbarkeit hergestellt, ist der erste Schritt geschafft, um die Verteidigung auf eine gesunde Basis zu stellen, denn nun besteht ein Verständnis für die Systemumgebung und das Verhältnis zum Firmennetz. Falls noch nicht geschehen, sollte danach:

• ein dediziertes OT-Sicherheitsteam für die industriellen Anforderungen etabliert werden

• eine Möglichkeit geschaffen werden, um Hinweise auf aktuelle Bedrohungen systematisch entgegenzunehmen, auszuwerten und das Handeln darauf abzustimmen

• eine Risikobewertung vorgenommen werden (u. a. mit ehrlichen Kostenansätzen für Downtime und zerstörte Anlagen)

• ein OT-Überwachungssystem aufgesetzt werden

• besondere Maßnahmen zum Schutz der „Kronjuwelen“ getroffen werden

• ein Notfallplan erstellt und für den „attack day“ geübt werden

• neue Lieferanten auch unter Sicherheitsaspekten ausgewählt werden.

Falls man selbst Anbieter von Industrieanlagen oder -komponenten ist, sollte auch der Versicherungsschutz überprüft werden, d.h. es muss die Frage geklärt werden, ob die Produkthaftung auch auf die nicht endenden, informationstechnologisch bedingten Risiken eingestellt ist.

Es empfiehlt sich auf den „Rough Ride“ vorbereitet zu sein, denn die Sicherheitsproblematik in Industrieanlagen ist gerade dabei zum nächsten großen Schlachtfeld der Cybersicherheit zu werden.

Literatur