Mehrstufig, massgeschneidert und ganzheitlich

Sicherheitskonzepte für das IoT – einige Empfehlungen zum Schutz der Daten

Mehrstufig, massgeschneidert und ganzheitlich

Sicherheitskonzepte für das IoT – einige Empfehlungen zum Schutz der Daten

Scroll down

Das Internet of Things (IoT) ist interessant für Cyberkriminelle als Angriffsvektor für den Abfluss von Daten und Intellectual Property über diese smarten Produkte. Es wäre realitätsfern, hundertprozentige Sicherheit zu erwarten, es gibt jedoch einige Empfehlungen an Unternehmen zum Schutz ihrer Daten gegen Angriffe von aussen oder Datenverluste respektive Datenlecks von innerhalb.

Autor: Dominique Brack, Principal Information Security Alps Region bei T-Systems Schweiz

Heutzutage sind viele Produktionsanlagen noch weitestgehend abgeschottet und funktionieren autonom.
Mit der Möglichkeit der Fernwartung über das Netz geht einher, dass sich diese geschlossenen Umgebungen öffnen. Auch um die Produktions-IT mit der Business-IT zu vernetzen und diese wiederum in unternehmensübergreifende Beschaffungs- und Logistikprozesse einzubinden, braucht es offene Schnittstellen.

Doch in den Produktionsanlagen der Schweizer Maschinen- und Anlagenindustrie steckt gewaltiges Know-how (Intellectual Property). Optimierungsalgorythmen und Produktionsdaten gelten teilweise sogar als Geschäftsgeheimnis. Die Angst ist berechtigt, dass dieses wertvolle Wissen verloren gehen könnte. Ein Verlust dieser Geschäftsgeheimnisse kann sogar die Existenz einer Firma gefährden. Gerade in den KMU – die die Mehrheit der Schweizer MEM-Industrie stellen – gibt es kaum Ressourcen und Erfahrung, wie mit Fragen der Security, Compliance und des Datenschutzes umgegangen werden muss.

Schaden kann auf verschiedenen Ebenen sehr gross sein

Zumal sich die Gefahr von zwei Seiten her nähert: «von innen nach aussen» und «von aussen nach innen». «Von innen nach aussen» in dem Sinne, dass andere Länder oder Organisationen sprichwörtlich die Intelligenz aus den Produktionsanlagen extrahieren. In dem Masse, wie die Maschinen und Anlagen smarter werden, werden sie auch für Cyberkriminelle wertvoller, denn es steckt mehr und mehr Wissen und Know-how in ihnen. Und vor allem in den Daten, die die miteinander vernetzen Maschinen und Anlagen austauschen.

«Von aussen nach innen» werden Schadsoftware in die Industrieanlagen eingeschleust oder Manipulationen vorgenommen. Bereits minimale Eingriffe und daraus resultierende Fehleinstellungen können ein hochpräzise arbeitendes Produktionsumfeld komplett lahmlegen. Noch schlimmer: Die Anlagen werden von aussen falsch gesteuert, so dass die Roboter oder andere Komponenten plötzlich nicht mehr das tun, was sie sollen, sondern sich selbständig machen und zu einem unkontrollierbaren Gefahrenherd werden.

Smart Factory End-to-End von T-Systems. (Videoquelle: Youtube-Kanals T-Systems)

Und ein Risikofaktor kommt noch hinzu: Der Mensch selbst. Bedienungsfehler, unsichere Passwörter oder einfach auch Nachlässigkeit können in den vernetzten Systemen schwere Schäden und damit hohe Kosten verursachen.
Gehen die CAD-Pläne eines Auftraggebers verloren oder werden gar öffentlich zugänglich, weil sie auf der kompromittierten Maschine gespeichert wurden, oder wird der Konkurrenz bekannt, wie die Wartungsintervalle einer Maschine konfiguriert sind, ist das bereits sehr risikoreich.

Werden aber durch eine von einem Cyberkriminellen gehackte Maschine Informationen über das Bedienpersonal bekannt — wer hat wie lange an der Maschine gearbeitet —, verletzt man damit, wie es beispielsweise in Frankreich der Fall ist, das Arbeitsgesetz. Der Schaden durch Cyberkriminelle kann also auf verschiedenen Ebenen sehr gross sein.

100-prozentige Sicherheit gibt es nicht – Empfehlungen hingegen schon

Die Unternehmen müssen sich darüber klarwerden, welche digitalen Prozesse geschäftskritisch und welche Risiken zu eliminieren sind. 100-prozentige Sicherheit wird es nicht geben und auch Sicherheit per «Giesskanne» ist nicht die optimale Lösung. Benötigt wird ein mehrstufiges Sicherheitskonzept, das für jedes Unternehmen individuell massgeschneidert wird.

Folgende Empfehlungen sollten Unternehmen beherzigen, die ihre Wertschöpfung ins Internet der Dinge verlagern und dabei möglichst sicher unterwegs sein wollen.

Schon bei der Absicherung von IT-Infrastrukturen besteht in den meisten Unternehmen Nachholbedarf. Bisher verfügt nur eine Minderheit über eine eigenständige IT-Security-Strategie, die sie auch regelmässig überprüft und aktualisiert. Im beginnenden Zeitalter von Industrie 4.0 ist die Einführung einer unternehmensweit verbindlichen Sicherheitsstrategie, die IT-Sicherheit (Security) und Betriebssicherheit (Safety) umfasst, jedoch unerlässlich.
__

Grundlage für die Implementierung jeder Sicherheitsstrategie ist eine Risikoanalyse der eigenen Infrastruktur und Unternehmensassets. Auf der Grundlage des ermittelten Ist-Zustandes und des angestrebten Soll-Zustandes von akzeptablen Risiken ist eine realistische Einschätzung darüber möglich, welche Methoden, Technologien und Produkte das einzelne Unternehmen implementieren sollte.
__

Sicherheit im IoT muss präventiv-proaktiv ausgerichtet sein und einem integrierten «Security by Design»-Ansatz zur Produkt- und Prozessentwicklung folgen. Viele Entwickler von embedded Software müssen erst noch lernen, dass IT-Sicherheit mit der ersten Codezeile beginnt. Doch nicht nur Eigenentwicklungen, auch die Beschaffung von Hard- und Software muss kontrolliert werden. Insbesondere ist der Kauf zertifizierter Produkte ratsam.
__

Eine Industrie-4.0-Sicherheitsarchitektur muss die Prinzipien des «Defense-in-Depth»-Ansatzes beherzigen. Dabei wird die Sicherheitsarchitektur in verschiedene Schichten und Ebenen unterteilt. Jede Schicht wird mit verschiedenen Sicherheitsmassnahmen versehen. Überwindet ein Angreifer eine Schicht, z.B. eine Firewall, dann steht er schon vor der nächsten Hürde.
__

Die Sensibilisierung des Personals, Richtlinien zur physischen Sicherheit von Maschinen und Anlagen, ein Security-Framework für das Unternehmensnetz müssen einhergehen mit einem verbindlichen Regelwerk zur Authentifizierung von Menschen und Maschinen. Starke Passwörter, Zugangsberechtigungen und vor allem auch Schulung sind weitere Komponenten des Sicherheitsmanagements.
__

In industriellen Netzen werden externe Schnittstellen, Übergabe- und Zugangspunkte vermehrt zum Ziel von Hackern, die durch einen Angriff auf die IT-Security Folgeangriffe auf die Betriebssicherheit auslösen und dabei oft längere Zeit unbemerkt bleiben. Um dies zu verhindern, müssen Fähigkeiten zur Prävention, Detektion und Reaktion in Unternehmen auf- beziehungsweise ausgebaut werden.
__

Die Verschlüsselung des Datenverkehrs gewährleistet ein hohes Mass an Sicherheit. Der Aufbau vertrauenswürdiger Zertifizierungsstellen und eindeutiger, fälschungssicherer Identitäten entlang der Wertschöpfungskette bildet daher eine der wesentlichen Voraussetzungen für die Zusammenarbeit in industriellen Netzen.
__

Mit Industrie-4.0-Anwendungen kommen neue Herausforderungen in Sachen Datenhaltung (Storage) auf die Unternehmen zu. Intelligente Sensoren liefern Unmengen an Daten, die zumeist nur durch Spezialdienstleister verarbeitet und ausgewertet werden können (Data Analytics). Diese müssen über sichere Schnittstellen ins Netz eingebunden werden. Um die mit Big Data verbundenen Speicher- und Sicherheitsanforderungen zu bewältigen, eignen sich Datenplattformen wie die Cloud der Dinge, die auch die Steuerung von Maschinen und automatisierten Prozessen übernehmen können.
__

Um Sicherheit vom Sensor in der Produktion bis zur Office-Anwendung im Büro herzustellen, empfiehlt es sich, die Verantwortlichkeiten für beide Bereiche in einem zentralen Sicherheitsmanagement zusammenzulegen. Wenn Unternehmens- und ganze Wertschöpfungsnetzwerke miteinander verschmelzen, multiplizieren sich die Sicherheitsanforderungen. Damit steigt die Bedeutung von abgestimmten Sicherheitsmassnahmen im Ökosystem eines Unternehmens unter Einbezug der Kunden, Partner und Lieferanten.
__

Sicherheit ist ein Thema, das permanent auf der Tagesordnung stehen muss. Es ist nicht möglich Sicherheitsmassnahmen einmalig zu implementieren und das Thema danach «zu den Akten» zu legen. Sicherheit bleibt ein «Moving Target» angesichts der rasanten Entwicklung. IT-Security-Strategien und -Massnahmen sind kontinuierlich weiterzuentwickeln und anzupassen.
__

100-prozentige Sicherheit gibt es nicht – Empfehlungen hingegen schon

Folgende Empfehlungen sollten Unternehmen beherzigen, die ihre Wertschöpfung ins Internet der Dinge verlagern und dabei möglichst sicher unterwegs sein wollen.

Vieles können die Unternehmen selbst tun, um sich optimal zu schützen. Doch je mehr die unternehmensübergreifende Vernetzung und Integration in Wertschöpfungsnetzwerken voranschreitet, desto wichtiger werden einheitliche Standards für die gesamte Industrie. Anlagenbauer, Gerätehersteller, Netzbetreiber, Softwareanbieter und ICT-Dienstleister müssen demzufolge gemeinsam nach Wegen suchen, integrierte Sicherheitskonzepte und -standards als Best Practices, als auch in Referenzarchitekturen zu beschreiben und verfügbar zu machen.