Für Elektrotechniker: Worauf Sie bei vernetzten Produktionsanlagen aus der Sicht der Informationssicherheit achten sollten:
Die Entwicklungen im SPS-Bereich zeigen einen Trend ganz deutlich: Die vollständig vernetzte Produktion kommt.
Das bringt viele Vorteile mitsich und wir bei LOGIT Systems. Solutions. begrüßen die oft vorhandene Hersteller-Interoperabilität dank offenen Standards, wie OPC UA sehr. Eine Entwicklung, auf die man leider etwas warten musste.
Nichts desto trotz bedeutet das jetzt:
Neue Herausforderungen für Techniker und Produktionsanlangenführer. Warum?
Die Computerisierung der vorher "nur" digitalen SPS-Komponenten öffnet diese für eine äußert Breite Spanne von IT-Angriffsszenarien. IT-Sicherheit wird damit zu einem immanenten Thema für produzierende Unternehmen. Denn diese Szenarien erstrecken sich von DoS (Denial-of-service), also der Lahmlegung, über Infiltration und Datenextraktion hin zur vollständig automatisierten Industriespionage im schlimmsten Fall.
Und damit ist noch lange nicht Feierabend, wie die Person vom Fach weiß. Viele unterschiedliche Akteure arbeiten Tag und Nacht daran, neue Angriffsvektoren, wie Sicherheitslücken im Fachjargon heißen, aufzuspüren und diese auch aktiv auszunutzen. Leider auch staatliche Stellen, welche hierfür schon lange in der Kritik stehen. Am prominentesten sei hier der Wurm Stuxnet zu nennen, welcher gezielt SCADA Systeme und SPS angriff und, so wird vermutet, aus nationalen (Un-)Sicherheitskreisen stammte.
IT-Sicherheit ist angesichts dieser Tatsache ein sich ständig wandelndes und sich weiterentwickelndes Themenfeld, das man in die Betrachtungsweise auf vollständig vernetzte Produktionssysteme unbedingt einbeziehen muss.
Denn die möglichen Schadenssummen können aufgrund der Natur der angegriffenen Systeme gewaltig werden. Produktionsausfall, Maschinenschäden bis Personenschäden hin zu wirtschaftlichem Totalausfall müssen als Risikovarianten einkalkuliert werden. Sofern man sich hier nicht gezielt durch IT-Fachpersonal beraten und die Umsetzung begleiten lässt, ist eines klar: Der wirtschaftliche Erfolg der eignene Unternehmung baut in diesem Fall nur auf Glück auf nicht zum Betroffenen eines Angriffes zu werden.
Von "schnell mal eben" PC oder WLAN-Router anstecken, muss daher an dieser Stelle dringend abgeraten werden, wenn kein Sicherheitskonzept oder mangelnde Sicherungsmaßnahmen vorhanden sind.
Wie kann man sich absichern?
In jedem Fall raten wir grundsätzlich dazu, neue vernetzte Systeme mit einem IT-Partner abzusprechen und zu planen. Die Komplexität der Informationstechnik ist bekanntlich groß und es gibt selbst bei geschulten und gut informierten Technikern immer Szenarien, Praktiken oder Technologien, die für den jeweiligen Verantwortlichen unbekannt sind.
Grundsätzlich können wir Ihnen aber ein paar Tipps an die Hand geben:
- So wenig Fremdgeräte, z.B. PCs anschließen, wie möglich (am Besten keine, die nicht eingeplant sind)
- Tripple A (Authentication, Authorization, Accounting) im Netzwerk einsetzen
- Sicherheitskonzept erstellen und Angriffsszenarien abbilden, sowie deren Gegenmaßnahmen
- Intrusion Detection Systeme, wo möglich nutzen
- Live-Monitoring mit Warnungsfunktion einsetzen
- IT Security Best Practices erst nehmen und umsetzen
- Backup-Systeme mit den geringst möglichen Zugriffsrechten ausstatten
Auch Bestandsanlagen sind betroffen
Mit dem Aufkommen der Hersteller-Clouds für SPS-Geräte, wird von selbigen häufig eine Internetverbindung vorausgesetzt, damit die Geräte zusätzlichen Mehrwert für den Anwender bieten können. Schnell ist das Kabel gelegt, die SPS mit dem Internet verbunden und die Produktionsstraße ganz unbewusst potenziellen Risiken ausgesetzt, von denen man nicht einmal wusste, dass sie exisitieren. Ein Szenario, welches weit aus häufiger vorkommt, als man angesichts des Schadensrisikos erahnen könnte.
Natürlich ist es klasse die neuen Features der SPS-Hersteller zu nutzen. Nur mit diesen sollten Sie sich aber nicht zufrieden geben. Um die Vorteile der Digitalisierung und des eigenen Unternehmens voll auszuschöpfen, lohnt es sich, über eine Digitalisierungsstrategie nachzudenken und dabei professionellen Rat hinzuziehen.
Übrigens stiftet der Begriff der Cloud, welchen ich in Form der "Hersteller-Cloud" oben angesprochen habe, immer wieder viel Verwirrung.