Anzeige

Industrie

Die Operational Technology (OT) war lange strikt getrennt vom IT-Netzwerk und dank proprietärer Protokolle und veralteter Technologien vergleichsweise sicher vor Cyber-Angriffen. Mit der zunehmenden Verbreitung von IoT wachsen die beiden Welten immer stärker zusammen und geraten damit ins Visier von Hackern.

NTT Ltd.’s Security Division nennt fünf Maßnahmen zum Schutz der OT.

Durch die zunehmende Kommunikation und Integration von Software in Maschinen und Anlagen eröffnen sich neue, aus der IT bekannte Angriffsszenarien. Schaffen es beispielsweise Cyber-Kriminelle, mit Hilfe verseuchter E-Mails ins Firmennetzwerk vorzudringen, können sie einzelne Maschinen oder ganze Produktionsstraßen übernehmen, zum Stillstand bringen oder bestimmte Teilprozesse manipulieren. Eine Auslieferung von fehlerhaft hergestellten Produkten kann unter Umständen den Ruin von Unternehmen und aufgrund von Haftungen auch des Anlagenbauers bedeuten.

Um Angriffe abzuwehren, sollten sich Unternehmen vor der Entwicklung neuer Maschinen oder Anlagen Gedanken um deren Sicherheit machen und diese im Vorfeld mit dem Betreiber klären. Hierbei unterscheidet sich die Security deutlich von einer klassischen IT-Umgebung: Bei Laufzeiten von durchschnittlich 20 Jahren wird die Aktualisierung von Firmware, Betriebssystem und APIs sowie der Einsatz von Antiviren-Software deutlich erschwert. Wird eine auf die Kundenbedürfnisse speziell angepasste Individuallösung implementiert, ist sie oftmals nicht kompatibel mit standardisierten IT-Sicherheitssystemen.

Unternehmen sollten für die Sicherung ihrer OT-Anlagen folgende Maßnahmen befolgen:

  1. Zuallererst gilt es, eine Risikoanalyse durchzuführen. Was soll geschützt werden und wogegen soll es geschützt werden? Ziel ist es, die wichtigsten Gefahren zu erkennen und zu bewerten, wobei die Risikoanalyse spezifisch für ein Unternehmen, eine Produktionsumgebung, ein System, eine Anlage oder eine Maschine durchgeführt werden sollte. Dazu gehört auch, ein Verständnis für potenzielle Angriffsvektoren wie einen unkontrollierten Fernzugriff zu bekommen. Je höher die Risikoeinstufung für eine Anlage ist, desto mehr wird jeder Zugriff auf oder durch diese Anlage überprüft.
     
  2. Ein wesentlicher Aspekt zur Gewährleistung von Security im OT-Umfeld ist die Segmentierung des Betreibernetzes in einzelne abgetrennte Segmente. Vor allem bei Legacy-Systemen, bei denen sich die Sicherheit nur bedingt auf den neuesten Stand heben lässt, sind Komplementärmaßnahmen wie die Trennung des OT-Netzes vom Unternehmens- und externen Netzwerk wichtig.
     
  3. Mit der Einrichtung von Benutzerkonten und Credentials sowie durch Authentifizierung und Autorisierung wird sichergestellt, dass nur berechtigte Mitarbeiter Zugriff auf Maschinen und Anlagen haben.
     
  4. Damit Cyber-Kriminelle trotz höchster Schutzmaßnahmen nicht die „eine“ Schwachstelle ausnutzen können, sollte jede einzelne ICS (Industrial Control System)-Komponente auf ihre Sicherheit überprüft und das Netzwerkdesign entsprechend gestaltet werden. Dadurch können bekannte Schwachstellen nicht ausgenutzt werden beziehungsweise Infizierungen auf kleine Bereiche eingedämmt werden.
     
  5. Neben diesen technischen Maßnahmen sollten Unternehmen Security-Richtlinien und -Prozesse erarbeiten und umsetzen. In diesem Rahmen müssen Rollen, Zuständigkeiten und Verantwortlichkeiten definiert werden. Zudem sollten Unternehmen regelmäßig Übungen zur Reaktion auf Vorfälle durchführen, um die organisatorische Effektivität zu testen.

„In Zukunft müssen die IT-Abteilung und die OT-Kollegen enger zusammenarbeiten, nur gemeinsam können sie die größtmögliche Sicherheit für ihr Unternehmen gewährleisten. Cyber-Sicherheit für die OT-Umgebung umzusetzen, ist allerdings kein einfacher und auch kein schneller Weg“, erklärt Christian Koch, Director GRC & IoT/OT bei NTT Ltd.’s Security Division. „Immer mehr Unternehmen haben jedoch die Notwendigkeit erkannt, was unter anderem an den Haftungsrisiken liegt. Der andere Treiber ist die Automotive-Industrie, die im Hinblick auf die kommende UNECE-Zertifizierung und ISO/SAE 21434 als technischen Standard ein durchgängiges Security by Design in der Produktentwicklung und entlang des gesamten Lebenszyklus forciert. Diese Anforderung geben die Automobilhersteller an ihre Zulieferer weiter und lassen es verbindlich in die Verträge schreiben.“  

hello.global.ntt
 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

E-Mail security

Sichere E-Mail-Kommunikation - gerade jetzt

Verschlüsselung ist wichtiger denn je, denn aufgrund der Einschränkungen, die das Coronavirus mit sich bringt, kommunizieren Unternehmen und Privatpersonen mehr denn je via Collaboration-Tools und Video-Konferenzen, aber auch via E-Mail. Nachfolgend daher ein…
Web Security

Neuer JavaScript-Scanner

Einfaches Scannen moderner Webanwendungenverspricht Crashtest Security mit einem neuen JavaScript-Scanner. Zusätzlich veröffentlicht das Unternehmen ein Update, das agilen Sicherheitsbedürfnissen mit vollständigen SaaS-Funktionen.
Hijacking

Best Practices gegen Kontenmissbrauch durch Cyberkriminelle

Die Cloud bietet Cyberkriminellen eine große Angriffsfläche, da enorme Datenmengen an einem Ort gespeichert sind. Cloud Account Hijacking auf Unternehmensebene ist besonders verheerend, wenn dadurch vertrauliche oder geschäftskritische Daten durchsickern oder…
Cyber Resilience

5 Tipps für eine widerstandsfähige Unternehmens-IT

Das Risiko für Cyber-Angriffe steigt. Auch mit den besten Security-Maßnahmen wird es nie gelingen, es ganz auszumerzen. Um auch im Ernstfall betriebsfähig zu bleiben, sollten Unternehmen einen Zustand der nachhaltigen Widerstandsfähigkeit anstreben. Aber wie…
Homeoffice

Unsichere Home-IT wird plötzlich zur Arbeitsumgebung

Das Home-Office, vor kurzem noch eine Option für wenige Mitarbeiter in wenigen Unternehmen, wird vor dem Hintergrund der Corona-Krise vielerorts zum Rückgrat des Geschäftsbetriebes. Die Verlagerung von Büroarbeitsplätzen vom Unternehmen in die eigenen vier…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!