Eine ICS-Sicherheitscheckliste

In der herkömmlichen Cybersicherheit kann eine Sicherheitsverletzung Unternehmensdatensysteme entlarven, beschädigen oder sogar gefangen halten .

Während ein herkömmlicher Datenschutzverstoß Geld kosten und die IT-Systeme von Unternehmen schwächen kann, kann ein Cyberangriff auf industrielle Steuerungssysteme geschäftskritische Daten und Vorgänge beeinträchtigen. Da industrielle Kontrollsysteme alles kontrollieren, von Kernkraftwerken über Raffinerien, Stromnetze, Fabriken bis hin zu schweren Geräten, ist die ICS-Sicherheit von entscheidender Bedeutung.

Während IT-Systeme in traditionellen Unternehmensumgebungen Hardware in Software sind, umfassen industrielle Steuerungssysteme – manchmal auch als Operational Technology (OT) bekannt – Geräte, Systeme und Netzwerke, um industrielle Prozesse zu betreiben und/oder zu automatisieren.

Hier bieten wir eine Reihe von ICS-Sicherheitsprinzipien, die Branchenexperten dabei helfen, ihr Cybersicherheitsrisiko zu senken.

1. Verstehen Sie Ihre Vermögenswerte 

Die meisten Industrieunternehmen sind nicht bereit für fortschrittliche Cybersicherheitstechniken. Sie sollten mit den Grundlagen beginnen. „Die meisten Unternehmen wissen nicht, welche Technologie sie eingesetzt haben“, sagt Bill Malik, Vice President of Infrastructure Strategys bei Trend Micro.

Ein Teil der Herausforderung besteht darin, dass sich operative Technologieressourcen oft von IT-Ressourcen unterscheiden, sagte Jason Haward-Grau, Chief Information Security Officer bei PAS. Ein Server in einem Rechenzentrum ist beispielsweise ein IT-Asset. Aber ein System in einem Serverraum eines Werks ist eine „Fähigkeit, die Sie zu einem Asset führt“, fügte er hinzu. „Es wird ein Steuerungssystem für PLCs [speicherprogrammierbare Steuerungen], SCADA [Überwachungssteuerung und Datenerfassung] oder DCS [verteilte Steuerungssystem] Systeme betreiben.“

Das Zählen von Servern, IP-Adressen oder Netzwerk-Switches wird also nicht das vollständige Bild erfassen. „Es gibt eine Menge [industrieller] Systeme, die sich nicht in einem formellen Netzwerk befinden“, sagte Haward-Grau. Eine weitere Herausforderung sind alternde Geräte. „In vielen Anlagen steckt immer noch die Technologie aus den 1960er und 1970er Jahren“, fügte er hinzu.

Im Unternehmen ist die Durchführung einer Schwachstellenanalyse oder die Erstellung einer Bestandsaufnahme im Allgemeinen einfach, dieselben Aktionen in der Welt von OT und ICS sind es normalerweise nicht. Eine Bestandsprüfung „in der OT-Umgebung könnte ein Gerät oder eine ganze Umgebung lahmlegen“, sagt Sean Peasley, Deloitte Risk and Financial Advisory Partner IoT Security Leader. Spezialisierte ICS-Sicherheitsanbieter können passiv eine Bestandsaufnahme der Geräte erstellen, sagte er.

2. Hilfe zu Frameworks 

Die Sicherung der industriellen Infrastruktur kann eine Herausforderung darstellen, aber es gibt eine wachsende Zahl von Standards, die dabei helfen können. Ein gemeinsames Framework, das Cybersicherheit einschließt, kann die Lücke zwischen IT und OT schließen und „eine ganzheitliche Denkweise“ in einem Industrieunternehmen fördern, sagte Peasley.

Es gebe erhebliche Überschneidungen zwischen den meisten ICS-Standards, sagte Haward-Grau. „Beginnen Sie mit einem Rahmen. Es ist mir egal, welche", riet er.

Zu den relevanten Standards und Frameworks gehören: 

• Die strategischen Prinzipien des DHS zur Sicherung des Internets der Dinge
• ISA/IEC 62443
• ISO/IEC 27001
• MITRE ATT&CK Framework für industrielle Steuerungssysteme
• NERC-CIP
• NIST Cybersecurity Framework, NIST Guide to Industrial Control Systems (ICS) Security und NIST-Empfehlungen für IoT-Gerätehersteller 
• UL 2900-Standards

3. Einen Plan zur Wiederherstellung nach Cyber-Klagen haben

Obwohl Standarddokumente zur Cybersicherheit oft dicht sind, sollte ein Rahmen letzten Endes es den Mitarbeitern ermöglichen, Cybersicherheit in einfachem Englisch zu diskutieren und ihnen einen Plan zu geben, wie sie auf Cyber-Alptraumszenarien reagieren können. „[Mit] Frameworks sprechen wir darüber:‚Wie identifiziere und schütze ich Dinge? Wie werde ich [Cyberangriffe] erkennen, darauf reagieren und, was noch wichtiger ist, mich davon erholen?‘“, sagte Haward-Grau.

4. In Cyberversicherungen investieren

Da Cyberangriffe oft verursachen, ist eine Cyberversicherung von unschätzbarem Wert. Der Abschluss einer Versicherung ist jedoch nicht ganz einfach. Alte Industrieanlagen sind alltäglich, daher ist es laut Haward-Grau sinnvoller, industrielle Prozesse zu versichern als spezifische Technologien. „Wenn ich Sachen habe, die ich nicht reparieren kann, wird der Cyber-Versicherer nach Ausgleichskontrollen suchen“, sagte er. Selbst mit einem soliden Cybersicherheitsprogramm können andere Ausschlüsse in der Versicherungspolice beachtet werden.

5. Nimm das „geringste Privileg“ an

In der Cybersicherheit rät das Konzept der „least Privilege“ dazu, dass eine Organisation die Zugriffskontrollen zwischen IT-Systemen und Benutzern einschränken sollte, ohne Kernaktivitäten zu umfassen.

Firewalls sind eine traditionelle IT-basierte Strategie, um dieses Ziel zu erreichen, aber sie sind auch für die OT-Sicherheit von entscheidender Bedeutung. „Überlegen Sie, wie sich Malware in einer Produktionsanlage verbreiten könnte, und richten Sie Firewalls ein“, sagte Malik. Setzen Sie zulässige Prozesse auf die Whitelist, um potenzielle Störungen zu vermeiden.

„Least Privilege“ sind mehr als Firewalls, sagte David Goldstein, CEO von AssetLink Global. Goldstein empfahl beispielsweise, „den Verkehr in Richtungen einzuschränken, die für die Anwendung nicht benötigt werden. Wenn Sie nur überwachen, deaktivieren Sie die Kontrollfunktion und so weiter.“

Der Fernzugriff ist eine weitere Sorge. „Verwenden Sie eindeutige IDs für Wartungsaufgaben“, sagte Malik. „Beim Zugriff auf Technologie über IP-Netzwerke in einer industriellen Umgebung ist eine eindeutige Authentifizierung durch jeden Benutzer erforderlich.“

Auch die Verwendung eines generischen PCs in einer ICS-Umgebung ist ein Risiko. „Verriegeln Sie es. Deaktivieren Sie Installationen, entfernen Sie Compiler und deaktivieren Sie alle unbekannten oder unnötigen Prozesse“, sagte Malik.

6. Erwägen Sie ein Bug-Bounty-Programm 

Bug-Bounty-Programme – bei denen Entwickler eine Belohnung erhalten, die Systemschwachstellen identifizieren – haben in den letzten Jahren an Popularität gewonnen, auch im industriellen Kontext. „Bug-Bounty-Programme sind ein Markenzeichen zukunftsorientierter IoT- und industrieller IoT-Anbieter“, sagte Malik.

„Die gesamte Digitalisierungsreise wird die Funktionsweise von Anlagen verändern“, sagte Haward-Grau. „Wenn Sie mit der Einführung von IIoT-Geräten und 5G beginnen, benötigen Sie Bug Bounties.“

Aber das bedeutet nicht, dass es sinnvoll ist, Bug Bounties in jedem Fall zu priorisieren. Ein Unternehmen mit jahrzehntealten Geräten und Workstations, auf denen ungepatchte oder veraltete Betriebssysteme ausgeführt werden, würde die Ergebnisse eines Bug-Bounty-Programms wahrscheinlich überwältigend finden.

7. Drittparteirisiken verwalten 

Risikomanagementprogramme von Drittanbietern seien im OT-Bereich von zunehmender Bedeutung, sagte Peasley. Aber das Risikomanagement über eine ausgedehnte Lieferkette hinweg sei oft eine Herausforderung, betonte er. „Für große Unternehmen gibt es möglicherweise Tausende von verschiedenen Dritt-, Viert- und Fünftelparteien, die sie berücksichtigen müssen“, sagte er. „Ob ein Lieferant etwas in eine Unterkomponente einbettet oder .. . ein Softwareprodukt ist, müssen all dies berücksichtigt werden“, fügte Peasley hinzu.

8. Inspirieren Sie sich von Sicherheitsprogrammen

Viele Industrieunternehmen verfügen seit Jahrzehnten über Sicherheitsprogramme. Da Cybersicherheitsbedrohungen jetzt sicherheitsrelevante Bedrohungen verursachen können, „müssen wir eine ähnliche Sicherheitsmentalität haben“, sagte Peasley.

Die Idee hat an Boden gewonnen. Das American Institute of Chemical Engineers empfiehlt beispielsweise, Cybersicherheitsüberlegungen in die traditionelle Prozessgefahrenanalyse zu integrieren, die sich traditionell auf das Risiko menschlicher Fehler, Geräteausfälle und dergleichen in Chemieanlagen konzentriert.

Eine Strategie zum Schutz von Industrieanlagen vor möglichen Katastrophen ist der Einsatz von sicherheitsgerichteten Systemen. Aber solche Systeme selbst können anfällig für Kompromisse sein, sagte Malik. Und die Nachrüstung von Sicherheitsfunktionen in bestehende sicherheitstechnische Systeme ist laut Malik nicht ratsam. „Sie würden eine Infrastruktur auf einer Plattform aufbauen, die nie für Cybersicherheit entwickelt wurde“, sagte er.

Haward-Grau räumte zwar ein, dass sicherheitsgerichtete Systeme unvollkommen sind, betonte jedoch, dass sie eine lebenswichtige Verteidigung darstellen. „Da wir beginnen, den Betrieb zu erweitern und mehr Dinge zu verbinden, wird der Bedarf an effektiveren sicherheitsgerichteten Systemen nicht aufhören. Sie werden wichtiger."