Article

Automation Security

Sicherheit für die Smart Factory

Die Verschmelzung von Produktion und Dienstleistung mit dem Internet verändert Industrieunternehmen fundamental. Die digitale Integration von Fertigungs-, Logistik- und Geschäftsprozessen birgt enorme Potenziale – Produkte werden kundenindividuell zu geringen Kosten gestaltet und dabei steigen Effizienz und Produktivität. Doch ohne Automation Security wird die echte Smart Factory eine unsichere Vision bleiben.

Zentrale Voraussetzung für Industrie 4.0 ist eine umfassende Automatisierungs-IT und -Security. Mit der voranschreitenden Vernetzung kommunizieren in der Smart Factory zum einen verschiedene IT-Ebenen miteinander. Zum anderen wachsen die Datenmengen, die erfasst, analysiert und übermittelt werden. Beides erfordert ein höheres Sicherheitsniveau und damit ein effektives Sicherheitsmanagement und eine passende Sicherheitsarchitektur.

In der analogen Welt wurden Automatisierungssysteme als sicherheitstechnische Insellösungen ohne Anbindung an das Internet und das interne Netzwerk installiert. Die Angriffsfläche war minimal, die Angriffsbedrohung entsprechend gering. Doch das Internet hat längst Einzug in die Werkshallen gehalten: Heutzutage wird die Produktion über Office-Systeme gesteuert, Anlagen werden aus der Ferne gewartet und Systeme tauschen kontinuierlich Informationen aus. Der zunehmende Austausch von Produktionsdaten hat die Konvergenz von Industrial Control Systems (ICS), Manufacturing Execution Systems (MES) und Enterprise Resource Planning (ERP) Systems vorangetrieben. Zugleich erweitert eine wachsende Anzahl von Industrieunternehmen ihre Supply-Chain-Prozesse und -Systeme über die eigene Organisation hinaus, indem sie Zulieferer- und Kundenprozesse integriert.

In der Smart Factory kommunizieren verschiedene IT-Ebenen miteinander. Zugleich wachsen die zu analysierenden Datenmengen.

Vernetzung erhöht das Cyber-Risiko

Durch die erforderliche und umfassende Vernetzung potenzieren sich mögliche Sicherheitslücken. Missbräuchliche Nutzung von Fernwartungszugängen, Online-Angriffe über Office-Netze, (D)DoS-Attacken sind reale Bedrohungen genauso wie Sabotage und unberechtigter Zugriff auf Ressourcen. Die Folgen eines Cyber-Angriffs können weitreichend sein: von Produktmanipulationen, Störung des Produktionsprozesses und Diebstahl von Intellectual Property bis Umsatzrückgang und Imageschaden.

Das Cyber-Security-Risiko steigt und damit die Anforderungen an die Automatisierungs-IT. Ihr Management unterscheidet sich maßgeblich von der klassischen Office-IT. Viel Zeit, dazu zu lernen und Versäumnisse aufzuholen, hat der industrielle IT-Bereich allerdings nicht. Die Grundsatzfrage für Industrieunternehmen hat sich gewandelt – von „Ist das Risiko real?“ zu „Wie groß ist das Cyber-Risiko, welche Auswirkungen hat ein Schaden für die Produktion und wie können wir gegensteuern?“. Die „Attraktivität“ für Cyberkriminelle lässt sich anhand von Größe, Komplexität, Wert der Produkte des Industrieunternehmens evaluieren. Potenzielle Ziele für Cyber-Angriffe sind zum Beispiel Betriebe mit wertvoller Intellectual Property, Unternehmen mit signifikanten Investitionen in Manufacturing-Prozesse oder Bereiche der kritischen Infrastrukturen aus den Sektoren Energie- und Wasserversorgung, Finanzdienstleistungen oder Gesundheitswesen.

Die Grundsatzfrage hat sich gewandelt – von „Ist das Risiko real?“ zu „Wie groß ist das Cyber-Risiko und wie können wir gegensteuern?“

12 Schritte zur wirksamen Automation Security

Deloitte untersucht die Absicherung der Industrieprozesse, analysiert Schwachstellen, testet die Systemsicherheit, bewertet die Risiken und erarbeitet Lösungsansätze zur besseren Absicherung der Systeme und Informationen. Unsere Projekterfahrungen zeigen Nachholbedarf in allen sicherheitskritischen Bereichen: Prozesse, Technologie und People.

Strategie: Eine umfassende Strategie für die Security-Ziele und das Setup sollte entwickelt und implementiert werden. So lassen sich kritische Ressourcen mit den richtigen Mitteln schützen.

Governance: Industrieunternehmen brauchen eine effektive Governance-Struktur mit Security-Standards, -Policies und -Verantwortlichkeiten für alle Systeme einschließlich ERP und MES sowie für alle ICS-Ebenen.

Organisation: Die Verantwortlichkeit für Office-IT und Automatisierungs-IT ist oft in verschiedenen Ressorts mit separaten Berichtslinien angesiedelt. Die Definition von Rollen und Zuständigkeiten schafft Transparenz, verbessert die Zusammenarbeit, hebt Effizienzen und erhöht die Security Awareness.

Maintenance: Die Office-IT wird regelmäßig und mit verhältnismäßig geringem Aufwand aktualisiert. Für die Automatisierungs-IT besteht die Herausforderung darin, Patches und Updates im laufenden Betrieb durchzuführen. Zielgerichtete Maßnahmen müssen solche Lücken kompensieren.

Monitoring: Alle IT-Systeme im Produktionsablauf sollten umfassend überwacht werden, insbesondere wenn sie die typischen Governance-Prozesse nicht adäquat abbilden oder wenn sie von dezentralisierten IT-Funktionen unterstützt werden.

Architektur: In der Regel verfügt die Office-IT über Vorgaben für Komponenteneinführung. Diese Gesamtarchitektur ermöglicht eine einheitliche Ausrichtung der IT auf wenige Technologien. Im Automatisierungsbereich bestimmt der Hersteller der Produktionsanlage, welche IT-Komponenten verbaut werden. Dies erhöht die Heterogenität der Systemlandschaft, die Komplexität der Sicherheitsmaßnahmen steigt. Dennoch sind Unternehmen gut beraten, Sicherheitssysteme zu vereinheitlichen und entsprechende Ansätze zu implementieren.

Security-Architektur: Während in der Office-IT der Netzwerkaufbau und die Sicherung der Systeme gewährleistet sind, fehlen in der Produktion oftmals selbst Standardmaßnahmen wie Firewalls. Eine Netzwerksegmentierung ist nicht oder nur teilweise umgesetzt. Durch passende Sicherheits-Architekturen lässt sich auch in der Produktion eine höhere Sicherheit erreichen.

Lebensdauer: Im Vergleich zu IT-Komponenten zeichnen sich Produktionsanlagen durch lange Lebensdauer aus. Dies erfordert eine regelmäßige Überprüfung und Aktualisierung der Standardkomponenten. Alternativ bietet sich die punktuelle Einführung von kompensierenden Maßnahmen an.

Awareness: Erfolgskritisch ist der Faktor Mensch. Klare Richtlinien, praxisnahe Schulungen und Security Reporting für den Produktionsbereich verändern das Verhalten und schärfen im Unternehmen das Bewusstsein, dass durch mangelnde Security-Umsetzung und -Prozesse großen Schaden angerichtet werden kann.

Management-Kommunikation: Automation Security ist kein Thema ausschließlich für die Sicherheitsexperten im Unternehmen. Angesichts ihrer Schlüsselrolle für den Erfolg der digitalen Fabrik findet sie zunehmend Beachtung auf Top-Management-Ebene. Zu empfehlen sind kontinuierliche Informationen über den Security-Status, eingeleitete Maßnahmen und die adäquate Adressierung neuer Risiken.

Incident Response: Analog zu den Prozessen, die in der Office-IT in aller Regel implementiert sind, sollte auch die Automatisierungs-IT in die Lage versetzt werden, Vorfälle zu erkennen, zu behandeln und abzuwehren.

Business-Resilience-Planung: Um für den Ernstfall gerüstet zu sein, sollte das Produktionsumfeld seine Widerstandsfähigkeit steigern. Mit Notfallplänen ist der Produktionsbereich gut auf Krisensituationen vorbereitet. Regelmäßige Simulationen ermöglichen eine schnelle und adäquate Reaktion.

Nachholbedarf besteht in allen sicherheitskritischen Bereichen: Prozesse, Technologie und People.

Fanden Sie diese Information hilfreich?