Cyber-Security in der industriellen Automation

Anbieter zum Thema

Mettler-Toledo GmbH

TURCK GmbH

Endress+Hauser (Deutschland) GmbH+Co. KG

HIMA Group

Drei Ansätze für Cyber Security

Derzeit gibt es drei Ansätze, die das Ziel Cyber Security verfolgen:

• Separate Netzwerke: In separaten, in sich geschlossenen Netzwerken ist die Gefährdung minimal. Aufgrund der physikalischen Trennung sind sie für Cracker nicht zugänglich.

• Verwendung technischer Geräte zur Trennung: Wenn für den Zugriff aus der Office-IT ein Zugang zu separaten Automatisierungsnetzwerken gewünscht ist, werden diese Zugänge z. B. durch Firewalls geregelt.

• Robustes Design der Sicherheitssteuerungen: Das Konzept des mehrstufigen Schutzes kommt dann zum Tragen, wenn aufgrund einer hohen Gefährdung ein stärkerer Schutz notwendig ist. Die letzte Ebene des Schutzes stellt dann die Sicherheitssteuerung dar, die bestimmte Security-Faktoren zu erfüllen hat.

Organisatorische Maßnahmen

Neben technischen Maßnahmen tragen auch organisatorische Maßnahmen auf Anwenderseite entscheidend zur Cyber Security bei. Da keine Technologie verfügbar ist, um neue Möglichkeiten von Angriffen zu entwickeln, sind deshalb für den Test eigener Netze Experten gefragt, die regelmäßig manuell Penetrations- und Fuzzing-Tests durchführen. Zudem ist es wichtig, sich der Manipulationsmöglichkeiten stets bewusst zu sein und diese zu hinterfragen: Wenn z. B. ein Bediener die Anlage über ein industrielles Protokoll abschalten kann, stellt dies möglicherweise auch für einen Cracker kein Problem dar. Die Vernunft aller verantwortlichen Personen ist ebenfalls ein wichtiges Kriterium: Mitarbeiter dürfen z.B. Passwörter nicht weitergeben und das DCS-System nicht dazu nutzen, um im Internet zu surfen. Dann dadurch haben Cracker leichtes Spiel.

Nützlich im Hinblick auf organisatorische Maßnahmen sind Erfahrungen aus der IT-Welt. Eine gute Orientierung gibt die internationale Norm ISO/IEC 27002 und der BSI IT-Grundschutz, die diverse Maßnahmen für die Informationssicherheit beinhalten, z. B.:

• Netzpläne erstellen,

• Recovery-Strategie erarbeiten,

• strenge Verteilung von Passwörtern einhalten,

• Schulung der Mitarbeiter,

• regelmäßiges Review etc.

(ID:20504830)