Grundlegende OT-Sicherheit herstellen
Eine Sprache für zwei Abteilungen
Wachsen Fabriken mit den IT-Infrastrukturen ihrer Betreiber zusammen, wird die Produktion auch über den digitalen Vektor angreifbar. Auf diese Herausforderung müssen OT und IT gemeinsam reagieren.
In der IT erfolgen Updates von Systemen oft im Wochen- oder sogar Tagesrhythmus. In der Betriebstechnik hingegen sind Lebenszyklen von weit über zehn Jahren keine Seltenheit. Dass die Operational Technology (OT) und die Information Technology (IT) also nicht immer auf einer Wellenlänge liegen, ist nachvollziehbar. Doch beide Bereiche wachsen immer stärker zusammen. Maschinen werden Datenlieferanten für IT-Systeme, denn je mehr ein Unternehmen über seine Produktion weiß, desto besser kann es planen. Die alten Maschinen bekommen dafür neue Sensoren und eine Verbindung an das IT-Netz. Produktionsanlagen, die in der analogen Zeit eingerichtet wurden, sind dafür in der Regel nicht ausgelegt, arbeiten aber mit der neuen Sensorik normal weiter. Aber sie werden digital angreifbar. Das birgt Gefahren für die Integrität der gesamten Produktion. Diese Risiken sollten Verantwortliche aus OT und IT gemeinsam angehen.
Die gleiche Sprache sprechen
Damit der Austausch beider Abteilungen funktioniert, müssen sie die gleiche Sprache sprechen. Der Produktionsleiter könnte der IT-Abteilung beispielsweise erklären, was seine Anforderungen an Wartungsintervalle und Verfügbarkeiten sind. Denn mag in der IT eine Verfügbarkeit von 99 Prozent in Ordnung sein, wäre das in der Fertigung ungenügend. Bei jährlich 7.000 Betriebsstunden, würde die Maschine bei 99 Prozent Verfügbarkeit pro Jahr 70 Stunden stehen, was einem Produktionsausfall von mehreren Tagen gleich käme. Auch bei Wartungsfenstern läuft es in der OT anders. Selbst monatliche Updatefenster stehen meist nicht zur Verfügung. Ein PC lässt sich schnell mal rebooten. Bei einem Hochofen in einem Stahlwerk geht das nicht. Andersrum ist auch Verständnis für die technischen Anforderungen der IT gefragt. Im Gegensatz zu speziellen Produktionsmaschinen können Standardcomputer etwa hohen Temperaturschwankungen nicht ohne Weiteres standhalten. Heißer als 40 Grad Celsius darf es nicht werden und Temperaturen um den Gefrierpunkt wirken sich auch negativ aus – ein klimatisierter Schaltschrank ist eine mögliche Lösung. Verstehen beide Abteilungen die Anforderungen ihrer Kolleginnen und Kollegen, lassen sich technische Maßnahmen besser umsetzen. Augenscheinliche Vorteil ergeben sich schon bei der Beschaffung neuer Systeme, wenn jede Abteilung die Bedürfnisse der anderen im Hinterkopf hat.
Grundlegende IT-Sicherheit ein Muss
Ein wichtiger Schritt zu mehr Security in der Produktion ist die Netzwerk-Segmentierung. Existieren OT-Netzwerke als abgeschlossene Bereiche ohne Anbindung an IT-Infrastrukturen, sinkt das Risiko deutlich. Nur ist das in modernen Produktionsunternehmen kaum noch realistisch. Sobald sich die OT direkt oder indirekt mit dem Internet verbindet, muss nur eine Komponente mit Schadcode infiziert werden, um die Produktionsumgebung zu kompromittieren. Segmentierte Netzwerke erfüllen hier eine ähnliche Aufgabe wie Schotten in Schiffen. Im Fall eines Lecks lässt sich dieses Segment abschotten. Den Datenverkehr zwischen den Netzwerksegmenten überwachen Firewalls. Auch sogenannte Allow-Policies sind wichtig. Dazu wird der Datenaustausch zwischen Segmenten eine Zeit lang überprüft. Zum Beispiel: Maschine 1 aus Segment A kommuniziert mit Maschine 3 aus Segment C. Gibt es für diese Verbindung keine praktischen Gründe: kappen. Zudem gilt es, Geräte zu identifizieren, deren Betriebssysteme vom Hersteller nicht mehr betreut werden, etwa weil es eine Firma nicht mehr gibt. Dann sollte es sich ein Unternehmen gut überlegen, diese Maschinen in ihr Netzwerk einzubinden. Sie können nach dem Minimalprinzip behandelt werden: Das heißt, man schottet sie weitgehend vom Gesamtnetzwerk ab und erlaubt nur den minimal nötigen Zugriff.
Schnittstellen schützen
Eine weitere Möglichkeit für mehr Sicherheit zu sorgen: Viele Unternehmen nutzen für den Datentransfer in ihrer Produktion bereits moderne APIs. Anders als klassische Scada-Schnittstellen lassen sich diese besser sichern. Die Schnittstellen sind die Gateways von Produktion zu EDV. Hier kann die IT also bereits einiges umsetzen, ohne direkt in die Fertigung einzugreifen. Hersteller von Automatisierungskomponenten kommen dabei ebenfalls mehr in die Pflicht. Wenn ihre Sensoren und Steuerungen ab Werk gewisse Security-Standards erfüllen, kommen diese Standards automatisch in die OT. Produktionsleiter können sich von IT-Verantwortlichen beraten lassen, welche Anforderungen die Komponenten erfüllen sollten. Werden diese Bedürfnisse an die Hersteller weitergegeben, müssen sie reagieren.
Externe Expertise einbeziehen
Ein IT-Branchensegment mit steigenden Umsätzen ist die Auslagerung von Aufgaben der IT-Sicherheit an Managed Security Services Provider (MSSP). Dieser Service lässt sich bei einigen Anbietern auf die OT ausweiten. Manche MSSPs kooperieren mit OT-Security-Experten und bringen eigenes Hintergrundwissen mit. Produktionsverantwortliche sollten Service-Level-Agreements (SLAs) auf ihre Bedürfnisse anpassen. Für die IT mag eine Reaktionszeit von mehreren Stunden ausreichen, für die Fertigung ist das wahrscheinlich zu lang.
