IEC 62443 als Security-Standard – warum die Kooperation aller Akteure notwendig ist

Anbieter zum Thema

Glatt GmbH

TURCK GmbH

VEGA Grieshaber KG

PHOENIX CONTACT Deutschland GmbH

Erreichung des Security Levels muss ständig überprüft werden

Der Hersteller eines industriellen Automatisierungssystems legt anhand der eingebauten funktionalen Maßnahmen und realisierten Security-Prozesse den erzielbaren Security Level (SL-C) fest. Auf der Basis der eingesetzten Geräte/Systeme sowie verwendeten Security-Konzepte und Prozesse bestimmt der Integrator den für die Lösung erlangten Security Level (SL-A). Und schließlich determiniert der Anlagenbetreiber durch eine Risikoanalyse den zu erreichenden Security Level (SL-T). Die Durchführung der Risikoanalyse wird als Teil des Security-Managementprozesses in Teil 2-1 der Norm gefordert (Bildergalerie, Bild 2).

Bildergalerie

Bildergalerie mit 6 Bildern

Der Betreiber und der Systemintegrator überprüfen den Erfüllungsgrad des SL-T und SL-A der Automatisierungslösung und ergreifen unter Umständen weitere Maßnahmen. Die IEC 62443 verlangt nicht, dass jede einzelne Komponente mit dem SL-T übereinstimmt. Vielmehr können Netzwerksegmente (Zonen) gebildet und Zugänge (Conduits) geschützt werden. So entstehen Teilsysteme, die an ihrem Zugang mit einem entsprechenden SL-T/A abgesichert sind.

Um diesen Prozess für Betreiber sowie Maschinen- und Anlagenbauer zu vereinfachen, erweist sich eine Zertifizierung der Security-relevanten Entwicklungsprozesse für industrielle Automatisierungssysteme durch ein unabhängiges Prüfinstitut als vorteilhaft. Auf diese Weise lässt sich sicherstellen, dass die Automatisierungssysteme ohne detaillierte Prüfung des Security-Funktionsumfangs innerhalb eines IEC 62443-Konzepts nutzbar sind (Bildergalerie, Bild 3).

Die beschriebene Vorgehensweise muss auch im Lebenszyklus einer Anlage immer wieder angewendet werden. Die Erlangung des SL-T/A ist dynamisch, da der Security Level aufgrund neuer Bedrohungen oder bekannt gewordener Schwachstellen der eingesetzten Geräte/Systeme nicht mehr den Ergebnissen der ursprünglichen Risikoanalyse entsprechen kann. Bei der Entwicklung der Automatisierungssysteme kommt der flexiblen Update-Fähigkeit somit eine wichtige Bedeutung zu. Die jeweiligen Maßnahmen sind in Teil 2-3 „Patch Management“ als technischer Report beschrieben.

Maschinen- und Anlagenbauer nehmen verschiedene Rollen ein

Aus Sicht der Industrial Security nimmt der Maschinen- und Anlagenbauer eine wesentliche Position ein, denn er hat einige für die Security bedeutende Rollen inne. Zunächst fügt er als Integrator die Komponenten eines oder mehrerer Hersteller in der Maschine oder Anlage zu einem Automatisierungssystem zusammen. Während der Inbetriebnahme übernimmt der Maschinen- und Anlagenbauer die Rolle des Betreibers. Danach fällt die Gewährleistung und gegebenenfalls Wartung der Applikation in seinen Aufgabenbereich.

In beiden Rollen stellt der Maschinen- und Anlagenbauer einen wichtigen Player im Lebenszyklus der Anlage dar und benötigt daher die notwendigen Zugriffsrechte. Darüber hinaus kann er bei speziellen Komponenten, die Alleinstellungsmerkmale der Lösung enthalten, als Hersteller eines Automatisierungssystems fungieren (Bildergalerie, Bild 4).

Als Schnittstelle zum Betreiber/Auftraggeber ist Teil 2-4 der IEC 62443 für den Maschinen- und Anlagenbauer von besonderer Bedeutung. Hier werden die wesentlichen Prozesse bei der Integration, Inbetriebnahme und Wartung eines industriellen Automatisierungssystems definiert. Zu den ausgewählten Security-Programmen (SP) des Teils 2-4 zählen:

• die Architektur der Automatisierungslösung,

• die Konfiguration der Automatisierungslösung,

• die Verwaltung von Nutzerkonten,

• die Behandlung von Ergebnissen,

• das Patch Management,

• die Sicherung und Wiederherstellung der Automatisierungslösung,

• die Fernwartung.

Insgesamt werden zwölf Security-Programme (SP.1-12) festgelegt, die sich in mehr als 100 einzelne Anforderungen aufteilen.

Was sind die grundlegenden System- und Komponentenanforderungen nach IEC 62443? Das lesen sie auf der nächsten Seite.

(ID:45296821)