Blog

Wie Sie jetzt die ersten Schritte in Richtung Industrie 4 Punkt 0 einleiten Teil 2 der Serie

Technologie

von  am 17. Jul 2015 um 16:30 Uhr

Schilde hoch! Ihre IT-Sicherheit muss stehen
Nachdem wir im argumentiert haben, dass Industrie 4.0 eine große Veränderung werden wird, wollen Sie nun endlich konkrete Hinweise was nun tun können. Wir starten mit Information Security (Infosec). Und lassen Sie uns vorweg schicken: Der Autor ist nicht aus unserer Infosec Abteilung bei Daimler TSS, es sind vielmehr einfache Tatsachen, die zur Annahme führen, dass der Shopfloor mit Industrie 4.0 ein leichtes Ziel für Angreifer werden wird.

Warum IT-Sicherheit noch viel relevanter wird
Ist es nicht vernetzt, ist es nicht Wirtschaft 4.0. Wenn Sie also davon ausgehen, dass ihre Produktionsstraße zukünftig nicht intern wie extern kommunizieren wird, müssen Sie auch nicht weiterlesen: Sie bleiben bei Industrie 3.0 und müssen nichts tun. Zumindest bis ihr Wettbewerb Sie überholt hat.

Wenn Sie aber ihren Shopfloor vernetzen (also richtig vernetzen, nicht ‚nur‘ mit dem Manufacturing Execution System) denken Sie jetzt zunächst an ihr Büro: In der Office-IT gibt es seit mehr als zwanzig Jahren Virenscanner, Firewalls und Intrusion Detection/Prevention Systeme (IDPS). Dienstags wird einmal im Monat von Microsoft gepatcht. Software kommt nur über geordnete Kanäle auf die Rechner der Benutzer. Java, PDF haben wir von wichtigen Servern deinstalliert – wie überhaupt alle Software, die dort nicht benötigt wird. Infosec-Audits werden einmal im Jahr durchgeführt und ein Corporate Information Security Officer (CISO) und ein Datenschutzbeauftragter wachen über alles. Und dennoch wissen wir: es ist nicht sicher. Was also glauben Sie wird passieren, wenn Sie ihr Shopfloor mit Industrie 4.0 ein Teil des Internet of Things wird? (Der Autor wird diese rhetorische Frage nicht auflösen)

Was sie tun sollten:

Engagieren Sie jemanden, der sich exklusiv um IT-Security auf dem Shopfloor kümmert. Am besten natürlich, wenn diese Person bereits Erfahrung mit dem systematischen Vorgehen in Punkt Infosec hat. Definieren Sie im Fortschreiten genaue Rollen mit Aufgaben, Befugnissen und Verantwortungen.

Trennen und segmentieren Sie ihr Netzwerk in der Produktion. Zwar wird die Vernetzung natürlich deutlich zunehmen, aber da nicht alles mit allem reden müssen wird, lohnt es sich in ein geplantes Netzwerkkonzept zu investieren.

Angriffe laufen über Netzwerk und Software. Verstehen Sie daher welche Software und Hardware bei Ihnen läuft, inklusive Netzwerkprotokolle und Systemprozesse, die Sie im täglichen Betrieb gar nicht benötigen. Deinstallieren Sie Systemkomponenten die Sie nicht benötigen – Hardware wie Software. Auch wenn es weh tut, weil man laufende Systeme nicht verändern möchte. Alles was angeschlossen am Netz Dienste anbietet und nicht benötigt wird, muss deaktiviert werden. Der Vorteil dabei: Sie lernen kennen, was sie wirklich brauchen.

Machen Sie sich Gedanken darüber, wie Sie zukünftig ihre Systeme warten wollen. „Inbetriebnahme und die Systeme dann laufen lassen bis zum bitteren Ende“ wird nicht mehr angemessen sein im Internet of Things. Auch die Software im Shopfloor benötigt Updates. Sprechen Sie mit ihrem Lieferanten darüber was seine Empfehlungen sind und setzen sie die Sicherheitsempfehlungen um. Denken Sie dabei mehr an „Apps“ und weniger an alte Windows Software.

Machen Sie sich Gedanken über einfache Dinge wie: Passwortmanagement. Könnte es sein, dass die an ihren Robotern angeschlossenen PCs/auf ihrer SPS/etc. alle dasselbe Administratorpasswort haben? Ist diese womöglich der ganzen Welt bekannt, weil es noch in Auslieferungseinstellung ist? Kann also jeder in der Fabrik an jeder Station alles tun? Ändern Sie Passwörter regelmäßig. Fragen Sie in Ihrer Office-IT nach dem BSI Grundschutz, hier finden Sie Hinweise zum Passwortmanagement (und vielem mehr).

Und richten Sie dann Logging und Monitoring ein. Sie müssen wissen, wer (Anwender/Systeme) sich wann, wo anmeldet. Protokollieren Sie Netzwerkaktivitäten.

Nehmen Sie die Lieferanten in die Pflicht! Fordern Sie sichere Software von ihrem Lieferanten! Lassen Sie sich beraten, wie Sie ihre Systeme sicher betreiben sollten (sicherlich hat ihr Anbieter standardisierte White-Papers, welche die wichtigsten Regeln im Bereich IT-Sicherheit darlegen). Ihr Lieferant will Industrie 4.0 anbieten – fragen Sie ihn, warum seine heutigen Lösungen bereits sicher sind.

Nehmen Sie den Ernstfall an. Gehen Sie davon aus, dass sie von Innen wie von außen angegriffen werden. Machen Sie Pläne, wie Sie vorgehen, wenn Sie eines Einbruchs Gewahr werden. Wer tut was? Welche Experten können helfen? Wie gehen Sie mit Presse/Öffentlichkeit um? Wie wird wieder der Ausgangszustand hergestellt? usw. Verankern Sie das Thema Infosec in den Köpfen von Kollegen und in den Prozessen. Mit einer angemessenen und fortwährenden Sensibilisierung lässt sich schon viel erreichen!

Etablieren Sie die o.g. Punkte, dann sind Sie wesentlich besser für Industrie 4.0 gerüstet!

Zurück zur Übersicht

Diesen Beitrag teilen

Was sagen Sie zu diesem Thema? Diskutieren Sie mit!