IT-Sicherheit allgemein

In dieser Studie wurden Unternehmen, die Produktionsanlagen betreiben oder betreuen, zu ihrem Sicherheitsaufwand bei der Abfrage von Security Advisories für Automatisierungskomponenten befragt. Die befragten Unternehmen (vorwiegend KMU) machten Angaben zum zeitlichen, technischen und personellen Aufwand für die Auswertung von Security Advisories im Produktionsumfeld. Es wurde festgestellt, dass in vielen Unternehmen Defizite in Bezug auf diese Fragestellung bestehen. Dieses resultiert im Wesentlichen aus Mangel an Zeit und Mangel an qualifiziertem Personal. Eine in der Studie vorgeschlagene automatisierte Abfrage von Asset Inventories und eine automatisierte Zuordnung von Security Advisories zu den Assets wird von den befragten Unternehmen durchgehend als sinnvoll erachtet.

Die Konvergenz der Netze ist ein zunehmender Trend im Bereich der Automatisierung. Immer mehr Anlagenbetreiber streben eine Vereinheitlichung der Netzwerke in ihren Anlagen an. Dies führt zu einer vereinfachten Überwachung und einem reduzierten Schulungsaufwand für das Personal, da nur noch eine einheitliche Netzwerktechnologie beherrscht werden muss. Ethernet-APL ist ein Puzzlestück für ein solches konvergentes Netzwerk. APL ermöglicht Ethernet bis zum Sensor/Aktuator und unterstützt verschiedene Protokolle wie z. B. PROFI-NET, EtherNet/IP sowie OPC UA. Trotz der erheblichen Vorteile für die Prozessindustrie, die Ethernet-APL mit sich bringt, sollte die IT-Sicherheit solcher Systeme mit betrachtet werden. Dieser Beitrag gibt einen Überblick über die Auswirkungen von Ethernet-APL auf die IT-Security und macht einen Vorschlag, wie die IT-Security für diese Geräte gewährleistet werden kann.

Planer und Betreiber von Produktionsanlagen stehen vor der Frage, welche Normen für die IT-Sicherheitskonzepte und ggf. auch für eine Auditierung dieser Anlagen anzuwenden sind. Da die Verantwortlichkeit in Bezug auf die IT-Sicherheit für die Operational Technology (OT) oft in anderen Händen liegt, als die für Information Technology (IT), gibt es hier gelegentlich abweichende Auffassungen darüber welche Normen zu Grunde zu legen sind. Personen aus dem IT-Umfeld fokussieren in der Regel auf die Normreihe ISO 27001, während Personen aus dem OT-Umfeld eher die Normreihe IEC 62443 favorisieren. Dieser Beitrag beschreibt die Grundlagen und Ausrichtung der beiden Normreihen und gibt Anregungen, in welchem Kontext welche die Normen sinnvoll und ggf. auch kombiniert nutzbar sind. Das Dokument schließt mit einer Empfehlung für ein Vorgehen im Bereich von Produktions-anlagen für die Fertigungs- und Prozessindustrie (OT-Security). Abschließend wird im Anhang noch am Beispiel einer Abwasserbehandlungsanlage die Anwendbarkeit der Normen diskutiert.

Dieser Beitrag adressiert einleitend die aktuelle Bedrohungslage aus Sicht der Industrie mit einem Fokus auf das Feld und die Feldgeräte. Zentral wird dann die Frage behandelt, welchen Beitrag Feldgeräte im Kontext von hoch vernetzten Produktionsanlagen für die künftige IT-Sicherheit leisten können und müssen. Unter anderem werden auf Basis der bestehenden Standards wie IEC 62443-4-1 [1], IEC 62443-4-2 [2] oder der VDI 2182-1 [3] und VDI 2182-4 [4] ausgewählte Methoden und Maßnahmen am Beispiel eines Durchflussmessgerätes vorge-stellt, die zur künftigen Absicherung von Feldgeräten notwendig sind.

Der folgende Beitrag befasst sich mit der IT-Sicherheit von Produktionsanlagen aus Betreibersicht. Hierbei liegt der Fokus auf den organisatorischen Aspekten der IT-Sicherheit. In einer Bestandsaufnahme werden zunächst die Probleme herausgearbeitet, die entstehen, sofern sich eine Organisation im Wesentlichen auf technische Aspekte der IT-Sicherheit konzentriert. Daraus wird die Notwendigkeit organisatorischer Maßnahmen abgeleitet. Eine Betrachtung von Normen und Standards, welche sich mit den organisatorischen Aspekten der IT-Sicherheit in der Produktion befassen, liefert das Grundgerüst für die Ableitung eines Maßnahmenplan. Der daraus resultierende 10-Punkte-Plan zur Umsetzung der IT-Sicherheit in der Produktion schließt den Beitrag ab.

Die Umsetzungsempfehlungen zu Industrie 4.0 sehen in der Beherrschung der IT-Sicherheit einen wesentlichen Erfolgsfaktor. Neue Sicherheitsarchitekturen werden als notwendig erachtet. Der Beitrag beschreibt die IT-Sicherheit im bisherigen Umfeld und erlautert dann die Bedingungen, die sich kunftig im Kontext von Industrie 4.0 ergeben werden. Am Beispiel des Wandels von Automatisierungssystemstrukturen in der Prozessindustrie werden Anforderungen an die IT-Sicherheit definiert und neue mogliche Losungsansatze zu deren Realisierung aufgezeigt.

Kurzfassung Zahlreiche unterschiedliche IT-Schutzmaßnahmen kommen in der Automatisierungstechnik zum Einsatz, um der gegenwärtigen steigenden Bedrohungssituation gerecht zu werden. Die-ser Beitrag zeigt sowohl die aktuellen als auch zukünftigen Anforderungen an Schutzmaßnah-men für die IT-Sicherheit von Automatisierungssystemen. Derzeit etablierte Best-Practices sollen zeigen, wie den aktuellen Anforderungen Rechnung getragen werden kann. Technologi-sche Trends erfordern zukünftig jedoch neue Lösungen, die ebenfalls aufgezeigt werden. Abstract Several different IT security measures are in use to take the current increasing threat situation into account. This paper shows current and future requirements regarding IT security measures for automation systems. Best practices in this paper show, how these requirements can be met by using the available solutions. However, technological trends require for new solutions, which are also presented.

This document concerns IT security in production facilities. It is intended for small and medium-sized enterprises that are looking for a simple procedural model for ensur-ing IT security in production areas.

Die IT-Sicherheit von Produktionsanlagen stellt Hersteller, Integratoren und Betreiber vor große Herausforderungen. Cyberangriffe über Schadsoftware wie WannaCry, Havex, Black-Energy bedrohen mittlerweile nicht nur den Bürobereich, sondern auch zunehmend Produktionsanlagen, Energieversorgungsnetze und andere kritische Infrastrukturen. Im Kontext von Industrie 4.0 reichen die bisherigen Schutzmaßnahmen, wie Abschottung der Produktionsanlagen, nicht mehr aus. Der Beitrag befasst sich mit der Frage, welchen Beitrag Feldgeräte im Kontext von hoch vernetzten Produktionsanlagen für die künftige IT-Sicherheit leisten.