TÜV Nord Security4Safety Risikoanalyse für Industrie 4.0

Viele Industrie-Unternehmen sind sich unsicher, welche Maßnahmen der IT-Sicherheit für die Entwicklungs-, Herstellungs- und Betreiberprozesse zu treffen sind. Gültige Vorschriften betrachten bisher nur Fragen der Funktionalen Sicherheit (Safety), aber kaum die der Informationssicherheit (Security). Einen ganzheitlichen Sicherheitsansatz gibt es weder als Norm noch als Richtlinie. TÜV Nord will diese Lücke mit der Security4Safety (S4S) Risikoanalyse schließen.

Anbieter zum Thema

Moxa Europe GmbH

TXOne Networks

Keeper Security EMEA Ltd.

TÜV Nord AG

„Die herkömmliche Funktionale Sicherheit wurde bisher von der Informationssicherheit getrennt betrachtet“, sagt Matthias Springer, Projektleiter Security4Safety bei TÜV Nord CERT. Diese Trennung diente dazu Rückwirkungsfreiheit zu erreichen, also unerwünschte Nebenwirkungen auszuschließen, die Einfluss auf die Sicherheit von Personen, Equipment und Umwelt haben könnten.

Die Entwicklungs-, Herstellungs- und Betreiberprozesse im Zeitalter von Industrie 4.0 machen die strikte Trennung von Safety und Security jedoch nicht mehr möglich; vielmehr widersprechen sich die verankerten Sicherheitsziele. „Auf der einen Seite steht das Ziel, dass die Maschine in sich sicher ist, auf der anderen Seite steht der Schutz vor Manipulationen von außen, die auf die Entwicklungs-, Fertigungs- oder Serviceprozesse einwirken könnten. Plakativ gesagt, stellen Sie sich eine Notausgangstür vor. Nach dem Safety-Gedanken müssen die Menschen bei Gefahr ins Freie gelangen. Aus Security-Sicht müsste die Tür aber zugemauert sein, damit niemand von außen in das Gebäude eindringt“, so Springer. Es komme also darauf an, einen für Security- und Safety-Anforderungen gangbaren Weg zu finden.

Vor diesem Hintergrund haben Springer und sein Team eine S4S-Risikoanalyse entwickelt, die einen anforderungsgerechten ganzheitlichen Ansatz einer Gefährdungs- und Bedrohungsanalyse auf allen logischen Ebenen (Prozesse, Systeme, Komponenten) verfolgt sowie alle schützenswerten Eigenschaften (Assets) von Industrie 4.0 berücksichtigt. „In Anlehnung an bestehende Vorgehensweisen der Gefährdungs- und Risikobeurteilung aus EN ISO 12100, EN 62443-3-2 oder VDI/VDE 2182 wird ein systematischer, strukturierter und kontinuierlicher Ansatz verwendet, um die Eigenschaften der Prozesse, Systeme und Komponenten bewerten zu können“, so Springer.

Das S4S-Risikomanagement betrachtet in drei Phasen die Risikobeurteilung und Ableitung von Maßnahmen, die Umsetzung der getroffenen Regelungen sowie deren Verifizierung und Validierung. Das Phasenmodell soll dazu beitragen, Kunden in unterschiedlichen Umsetzungs- und Implementierungsphasen zu begleiten, unabhängig vom Know-how und Entwicklungsstadium ihrer smarten Produkte.

„Nur so lassen sich das Risiko umfassend bewerten, der Stand der Technik bestätigen und die Sorgfaltspflicht beim Inverkehrbringen sicherheitsgerichteter Produkte im Zeitalter von Industrie 4.0 einhalten“, sagt Matthias Springer. Mit dem Konzept Security4Safety von TÜV Nord findet eine ganzheitliche Betrachtung der Sicherheit statt, die die Welten der IT-Security und der Funktionalen Sicherheit vereint.

(ID:44635831)