Studie zum Stand der Industrial Control Systems (ICS) Security in Unternehmen Positive Trends aber keine durchgängige ICS-Security

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Fachhochschule Bielefeld FB Ingenieurwissenschaften und Mathematik

Weil noch grundlegende Dokumentationen und Strukturierungs­elemente wie Netzpläne fehlen, sind viele Unternehmen nicht in der Lage, die Auswirkungen erkannter Schwachstellen richtig zu bewerten. In der Folge werden keine Notfallpläne aufgestellt, so dass eine umfassende ICS-Security trotz vieler positiver Entwicklungen weiterhin nicht erreicht werden kann.

Eine von der Vasgard GmbH und der Fachhochschule Bielefeld im Frühjahr 2020 in Ostwestfalen-Lippe durchgeführte Studie zum aktuellen Stand der Industrial Control Systems (ICS) Security in Unternehmen offenbart ein recht heterogenes Bild . Basierend auf dem ICS-Security-Kompendium des BSI (Bundesamt für Sicherheit in der Informationstechnik) von 2013 wurden im Rahmen der Studie wichtige Aspekte ausgewählt und deren Umsetzungsgrad bei den Teilnehmern der Befragung erhoben.

Während bestimmte Grundlagen der IT-Sicherheit bereits bereichsübergreifend Eingang in den betrieblichen Alltag gefunden haben, werden andere noch von fast allen Unternehmen vernachlässigt. Wie eine aktuelle Studie von Fortinet herausstellt, liegt der Grund dafür in der mangelnden Zusammenarbeit von IT- und OT-Teams aber auch in fehlenden Regelungen von Verantwortlichkeiten.

Stärken der ICS-Security

Die Maßnahmen:

• Laufende Aktualisierung der Listen der IT-Systeme

• Durchführung von Datensicherungen

• Beschränken von Zugriffsberechtigungen für wichtige Assets

• Löschen von Daten bei der Entsorgung von IT-Assets

sind bei der Mehrzahl der Befragten bereits vorhanden. Die Wichtigkeit der Umsetzung dieser Themen ist scheinbar für fast alle Befragten eindeutig.

Denn eine aktuelle Liste der IT-Systeme hilft dabei, Inkompatibilitäten und Inkonsistenzen von Software in spezifischen Versionen sowie Konfigurationen (z. B. IP-Adressen-Konflikte) zu vermeiden. Zusätzlich können ICS-Komponenten schnell identifiziert werden, um Updates oder Änderungen durchzuführen.

Regelmäßige Datensicherungen reduzieren das Risiko und die Folgen eines Datenverlusts. Die Verwendung von verschiedenen Ebenen wie auch Intervallen und Umfängen der Datensicherung ist dabei ein weiterer Vorteil und steigert die Flexibilität.

Zugriffsrechte auf ICS werden nur soweit erforderlich vergeben und die Berechtigungsvergabe erfolgt nach dem Prinzip der geringsten Privilegien.

Schließlich werden defekte Geräte nur zur Reparatur oder Wartung gegeben, wenn vertrauliche Informationen entfernt oder sicher gelöscht wurden. Dasselbe erfolgt bei der Entsorgung von Hardware, die außerdem bis zur Abholung sicher gelagert werden.

Schwächen der ICS-Security

An einigen Stellen fehlt es aber an strukturierten Vorgehensweisen und insbesondere folgenden Maßnahmen:

• Verzeichnen aller IT-Komponenten in einem Netzplan

• Regelmäßige Durchführung und Anpassung von Notfallplänen

• Vollständige Verbreitung von Prozessen zum Change- und Patch-Management

• Kommunikation relevanter Dokumente an betroffene Mitarbeiter

Diese Einschätzung deckt sich mit der geringen Verbreitung von Best-Practice-Ansätzen der IT-Sicherheit (ISO 27001, ISO 62443 oder IT-Grundschutz BSI) im Kreis der Teilnehmer.

Die Struktur des Netzes sollte in einem physischen Netzplan mit Orten und Infrastruktur des ICS sowie einem logischen Netzplan mit der strukturellen Sicht und den Sicherheitszonen dokumentiert werden.

Ein Wiederherstellungsplan (Business Continuity Plan) respektive Notfallpläne für die schützenswerten Assets sollten in regelmäßigen Abständen und mindestens jährlich auf Aktualität geprüft und bei Bedarf überarbeitet werden.

Einerseits sollte ein Patchprozess mit rollenspezifischen Verantwortlichkeiten und einer Berücksichtigung von vom Hersteller freigegebenen Patches und Updates ebenso wie Drittanbietersoftware definiert werden. Dabei sollte auch die Kritikalität von Patches zum Beispiel anhand des Common Vulnerability Scoring System (CVSS) bewertet werden. Andererseits sollte ein Changemanagement-System etabliert werden, bei dem insbesondere geprüft wird, ob Änderungen sicherheitsrelevante Auswirkungen auf das ICS haben.

Betroffene Mitarbeiter vom Service- und Wartungspersonal sowie Administratoren sollten die benötigten Informationen über die Funktionen und über die Bedienung des ICS verfügbar haben, um einen sicheren und unterbrechungsfreien Betrieb zu gewährleisten.

Die Zertifizierungen im Bereich IT‐Sicherheit sollten neben der ISO/IEC 27001 und dem IT-Grundschutz vom BSI insbesondere auch die branchenspezifischen und damit die besser auf ICS zugeschnittenen Normen und Best-Practice-Ansätze umfassen.

Die positiven Ergebnisse der Studie korrespondieren zum „SANS 2019 State of OT/ICS Cybersecurity Report“ demzufolge die Bedrohungen der ICS-Security zwar weiterhin auf einem hohen Niveau verbleiben und mit steigenden Herausforderungen verbunden sind. In vielen Unternehmen hat sich allerdings die Sicherheitssituation in den letzten Jahren deutlich verbessert und es wurden vermehrt Strategien umgesetzt, welche die OT/IT-Konvergenz adressieren.

Ein Anfang ist also gemacht, aber es müssen noch Unternehmensprioritäten ebenso wie die Budgets an die veränderte Realität angepasst werden. Die Herausforderung besteht weiterhin darin, dass insbesondere durch die vermehrte Verbreitung von Internet of Things (IoT) die Vernetzung der Produktionssysteme, Maschinen und Geräte schneller voranschreitet als deren Absicherung. Dabei handelt es sich nicht selten um Altsystemen ohne integrierte Cyber-Security-Mechanismen, die ein großes Risiko darstellen, das nur mit hohem Aufwand und Kosten vermindert werden kann. Ein vollständiger und regelmäßig gepflegter Netzplan und stetig geprüfte und aktualisierte Wiederherstellungspläne stellen hier ein wirksames Hilfsmittel dar. Unterschätzt werden in diesem Zusammenhang auch die Risiken mobiler Geräte und drahtloser Kommunikation. Neben der zunehmenden Nutzung von Cloudbasierten Diensten u.a. auch für ICS-Systemfunktionen sind dieses die neuen Angriffsflächen und schwerwiegende Konsequenzen können die Folge einer fehlenden Absicherung sein.

Es gilt demnach ein ganzheitliches und strukturiertes Abwehr- und Schutz-Pradigma zu entwickeln, welches eine unternehmensweite und einheitliche IoT-, ICS- und Cyber-Security-Strategie umsetzt.

Über den Autor: Prof. Dr. Achim Schmidtmann ist seit 2017 Professor für Wirtschaftsinformatik, insbesondere betriebliche Informationssysteme/ERP-Systeme am Fachbereich Wirtschaft der FH Bielefeld. Der Fokus seiner Lehre und Forschung liegt in der Beschäftigung mit IT-Service- und IT-Sicherheitsmanagement, betrieblichen Informationssystemen und dem Informationsmanagement. Von 2006-2017 war Prof. Schmidtmann Professor für Wirtschaftsinformatik am Fachbereich Informatik der FH Dortmund. Als Studiengangsleiter verantwortete er dort den Wirtschaftsinformatik Master sowie seit 2014 als CIO die hochschulweite IT-Strategie der FH Dortmund.

(ID:46992633)