Bildnachweis: Poobest/stock.adobe.com
OT-Prozesse sind mittlerweile eng mit IT-Prozessen verzahnt. Was das bedeutet mussten Volkswagen und Toyota in diesem Jahr erleben, als die Produktionen und angrenzende Bereiche aufgrund von IT-Problemen Stunden bis Tage still standen.1
Ein Ausfall hat für Unternehmen enorme Konsequenzen. Daher steht die Verfügbarkeit von Produktionssystemen an erster Stelle. Mit den Entwicklungen der Industrie 4.0 können solche Systeme jedoch nicht mehr alleine betrachtet werden. Die Verknüpfung zur IT nimmt immer weiter zu.
Wir wissen aus der IT, dass ein Informationssicherheitsmanagementsystem (ISMS) dabei hilft Schutzziele wie bspw. die Verfügbarkeit systematisch zu erreichen. Dann liegt es doch nahe auch die OT in das ISMS einzubeziehen.
Welchen Herausforderungen im OT-ISMS Du Dich als ISB dabei stellen musst, reißen wir in diesem Beitrag an.
Dafür betrachten wir zunächst einmal wesentliche Unterschiede zwischen der IT und OT.
Wie unterscheiden sich IT-Systeme von OT-Systemen?
IT-Systeme dienen der Informationsverarbeitung. Sie ist auf die Eingabe, die Bewertung und Verarbeitung und den Austausch von Informationen ausgelegt. Da die Information im Vordergrund steht, sind die Sicherheitsziele Vertraulichkeit, Integrität und Authentizität von entscheidender Bedeutung.
Die OT steuert, regelt und überwacht mechanische Anlagen. Hier stehen Funktionen und Anforderungen der Anlagen im Vordergrund. Da Sicherheit, Funktion und Qualität der Anlage von den OT-Komponenten abhängt, ist für diese die Verfügbarkeit das oberste Schutzziel.
Trotz dieser Unterschiede sind IT und OT für moderne Unternehmen unverzichtbar und werden zunehmend miteinander integriert, oft unter dem Begriff IT- und OT-Konvergenz. Das heißt, die OT nutzt immer mehr Technologien der IT wie bspw. Netwerkkomponenten oder Verschlüsselungsmethodiken. Damit geht man weg von proprietären Komponenten hin zu speziell an die Anlagen angepassten IT-Komponenten.
Die Besonderheiten der OT ergeben sich damit aus dem Fakt:
IT ist in der OT sekundär. Sie wirkt unterstützend.
Durch den CIM-Ansatz (Computer Integrated Manufaction) werden die Informationen der IT zu Steuerungsparameter der OT. Ein Fehlen dieser Steuerungsparameter kann damit die Steuerungen in der OT stören und damit zur Abschaltung ganzer Produktionsprozesse führen. Somit bekommt Verfügbarkeit der IT eine ganz andere Bedeutung.
Mit der Industrie 4.0 verstärkt sich diese Verbindung noch weiter, da im Ziel von der Bestellung bis zur Auslieferung der Prozess automatisiert wird.
Da die IT und die OT immer weiter verzahnt werden, vererben sich die Sicherheitsziele in beide Welten. Hier gilt es für ein ISMS die Risiken zu erkennen und geeignete Maßnahmen zu ergreifen, um ihre Werte zu schützen.
Daher werfen wir im nächsten Schritt einen Blick auf die Themen Strukturanalyse, Schutzbedarf und Risikoanalyse, die geeigneten Maßnahmen voranzustellen sind.
Strukturanalyse in der OT
Die Strukturanalyse der Assets ist die Basis für die daran anschließende Schutzbedarf- und Risikoanalyse.
Die Herausforderung im OT-ISMS für Dich als ISB besteht hier darin, Transparenz in hoch komplexe Produktionsumgebungen zu bringen, Wirkzusammenhänge darzustellen und Schatten-IT aufzudecken.
OT-Systeme sind spezialisiert auf einzelne Prozesse und bestehen aus vielen Komponenten. Welche IT eigentlich in den verschiedenen Maschinen verbaut ist und welche Betriebssystem-Versionen dort laufen muss erst noch festgestellt werden.
Risikoanalyse und Maßnahmen in der OT
In den einzelnen Steuerungs- und Feldprozessen und den darin integrierten Systemen und Komponenten sind häufig spezifische Risiken zu berücksichtigen. Eine szenariobasierte Risikobetrachtung ist in der OT selten möglich.
Eine weitere Herausforderung liegt in der langen Laufzeit von Sytemen und Geräten in der OT. Sie sorgt für veraltete, ungepatchte Betriebssysteme, die anfällig für Angriffe sind. Cyberkriminelle haben inzwischen auch für OT-Systeme dedizierte Malware für Angriffe entwickelt.2
Durch den Fokus auf die Verfügbarkeit der OT-Systeme können viele klassische IT-Sicherheitsmaßnahmen wie Virenscanner, Bildschirmsperren, Passwortrichtlinien oder Patchprozesse in der OT nicht in der gleichen Form wie in der IT umgesetzt werden.
Aus diesem Grund wurde mit der IEC 62443 eine eigene Norm für “Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme” etabliert, die aufbauend auf den Anforderungen der OT Informationssicherheitsmaßnahmen beschreibt.
Soll die OT in ein ISMS nach DIN ISO/IEC 27001 integriert werden, müssen Bezüge zwischen den Anforderungen der DIN ISO/IEC 27001 und den Maßnahmen der IEC 62443 hergestellt werden, so dass für das ISMS die Umsetzung der Anforderungen mit den Maßnahmen der IEC 62443 erfolgen kann.
Aufgrund der Verfügbarkeitsanforderungen aber auch der im Vergleich zur IT langen Lebenszyklen der OT-Komponenten muss die Organisation oft mit Schwachstellen leben.
Besonders wichtig ist daher, dass die Ausnutzung von Schwachstellen verhindert wird bis sie geschlossen werden können. Das lässt sich bspw. mit der Abtrennung/Segmentierung von OT-Netzen oder die Deaktivierung von Diensten/Funktionen erreichen.
Diese Ersatzmaßnahmen und die Schwachstellen sind zu dokumentieren. Wird eine Schwachstelle später geschlossen, kann ggf. die dokumentierte Ersatzmaßnahme rückgängig gemacht werden.
Fazit
Durch die immer stärkere Verzahnung von IT- und OT-Prozessen ist eine gemeinsame Betrachtung der Informationssicherheit in einem gemeinsamen ISMS ein möglicher Ansatz das Sicherheitsniveau der OT zu heben.
Eine einfache Adaption an bestehende IT-ISMS-Prozesse ist in vielen Aspekten nicht möglich. Oft gibt es Konflikte zwischen den Teams, weil sich Anforderungen in den Regularien für OT-Security und IT-Security widersprechen. Für einen erfolgreichen Prozess sollten daher ausreichend Ressourcen eingeplant werden, um die OT abbilden zu können.
Weiterhin sollten für das OT-ISMS Tools eingesetzt werden, die eine ausreichende Flexibilität bieten, um die unterschiedlichen Anforderungen von OT und IT abzubilden, mehrere Standards parallel bearbeiten können und den Austausch zwischen den Verantwortlichen aus OT und IT fördern.
Bernd Hampe
ISMS-Praktiker
Bernd Hampe ist OT-Verantwortlicher in einem KRITIS Unternehmen, Informationssicherheitsbeauftragter, Risikoverantwortlicher, Administrator und Anwender. Durch diese vielen Rollen konnte er das ISMS in vielen Facetten erleben. Seine Erfahrungen teilt er gern – in Gesprächen und in der ISMS-Softwareentwicklung.
