Warum die Sicherheit der industriellen Automatisierung ein neuer Fokus sein sollte

Während Industrieunternehmen mit den Auswirkungen von COVID-19 zu kämpfen haben, hat die Automatisierung ein noch heißeres Thema werden. Experten befürchten jedoch, dass die Beschleunigung der Automatisierung unvorhergesehene Folgen für Unternehmen haben könnte, die sich nicht auf Sicherheit konzentrieren.

„Bei Automatisierungs- und Industriesteuerungssystemen (ICS) besteht kein Zweifel, dass Eile mehr ist als Verschwendung“, sagt Dan Miklovic, Analyst beim Analyst Syndicate. "Es führt zu potenziell katastrophalen oder tödlichen Ergebnissen."

Missionskritische Systeme in Industrieanlagen haben sich traditionell auf die genaue Überwachung durch menschliche Mitarbeiter verlassen, da die Sinne „normalerweise der effektivste Weg waren, um eine optimale Betriebszeit zu gewährleisten“, Chris Catterton, Director of Solution Engineering bei ONE Tech. Das ändert sich. Automatisierte Systeme übersteigen oft die menschliche Fähigkeit, Maschinenprobleme zu erkennen. Ein automatisiertes System kann erkennen, wenn ein Drehmomentwert an einer Schraube beispielsweise ein paar Pfund leicht ist, oder ein hochfrequentes Lagerquietschen hören, das für das menschliche Ohr nicht wahrnehmbar ist, sagte Catterton.

Aber in Bezug auf die Sicherheit der industriellen Automatisierung nachlässig zu sein, kann gefährlich sein. Hobby-Elektronik zum Beispiel kann die Automatisierung von Industriemaschinen vereinfachen, aber solche Produkte können Cyber-Angreifern auch ein bekanntes Ziel bieten, sagte Mikovic. „Plug-and-Play-Automatisierungslösungen, die nicht mit Sicherheit im Vordergrund stehen, können auch die Tür für eine Vielzahl von Schwachstellen öffnen“, sagte Catterton.

Passen Sie auch bei KI-Bereitstellungen auf 

Es besteht auch die Gefahr, dass Unternehmen im Rahmen ihrer Automatisierungsinitiative vorschnell künstliche Intelligenz (KI) einsetzen. Da Data-Science-Experten knapp sind und viele erfahrene Industrieunternehmen aufgrund der COVID-19-Quarantänen ins Abseits gedrängt werden, steigt die Gefahr, dass sich Fehler in KI-Algorithmen einschleichen. Es besteht die Gefahr, dass „der Person, die versucht, das System zu trainieren, kritische Sicherheitsinformationen fehlen“, sagte Mikovic.

Selbst unter idealen Bedingungen führt die Entwicklung von Software oder KI-Algorithmen unweigerlich zu Fehlern. Eine Faustregel besagt, dass pro 1.000 Zeilen Software ein bis zehn Fehler auftreten, wie das Buch „The Fifth Domain“ beobachtet hat. Sogar Software für geschäftskritische Weltraumsysteme kann einen bis fünf Fehler pro 1.000 Codezeilen aufweisen.

Da Software oft Millionen oder Milliarden von Codezeilen enthält, wird die Notwendigkeit, Fehler zu verhindern und zu korrigieren, kritisch. Die Geschichte liefert Beispiele, die das Risiko von Abstrichen bei der Sicherheit der industriellen Automatisierung unterstreichen. Die Raketenkatastrophe der Ariane 5 von 1996 ist ein solches Beispiel. Nachdem Softwareentwickler der Europäischen Weltraumorganisation den Code, den sie von einer Vorgängerrakete geliehen hatten, nicht ausreichend aktualisieren konnten, explodierte die Rakete. Da die Geschwindigkeit des Fahrzeugs während des Starts die von der Software spezifizierten Grenzen überschritt, zerstörte sich die Rakete selbst. „Die Kosten dieses Softwarefehlers beliefen sich auf etwa 300 Millionen US-Dollar“, sagte Johannes Bauer, Ph.D., Principal Security Advisor bei UL.

Ein weiteres Beispiel für kostspielige Software-Shortcuts ist das Grounding der Boeing 737 Max im Jahr 2019. Nachdem das Flugzeug Softwareentwicklungsaufgaben an Ingenieure im Wert von 9 US-Dollar pro Stunde ausgelagert hatte, tötete das Flugzeug bei zwei Unfällen 346 Menschen. Laut der New York Times spielte ein automatisiertes System, das sich auf die Informationen eines einzigen Sensors verlässt, eine Rolle bei den Abstürzen. Die Kosten für die Landung der 737 nach den beiden Unfällen belaufen sich laut Boeing-Schätzungen auf 18 Milliarden US-Dollar.

D iskriminieren beim Zulassen des Fernzugriffs 

Neben den Risiken, bei softwaregesteuerter Automatisierung oder KI-Workloads Abstriche zu machen, ist die Ausweitung des Fernzugriffs in industrielle Umgebungen eine weitere Gefahr. „Denken Sie darüber nach, Zoom [die Videokonferenzanwendung] zu verwenden, damit das Werkstattpersonal mit einer gemeinsamen Expertenressource kommunizieren kann, um ein Problem zu diagnostizieren“, sagte Miklovic. In einem solchen Fall könnte ein Cyberkrimineller Geschäftsgeheimnisse oder Produktherstellungsinformationen stehlen, stellte er fest. Die Eile, Remote-Operationen zu ermöglichen, kann Unternehmen auch dazu veranlassen, Kontrollsysteme ohne entsprechende Sicherheitskontrollen über das öffentliche Internet zugänglich zu machen. Die Gefahr, dies zu tun, sei „besorgniserregend für sicherheitsgerichtete Systeme“, sagte Mark Carrigan, Chief Operating Officer von PAS Global. „Solche Systeme sind die letzte Verteidigungslinie für Prozesse, die über ihre Randbedingungen hinausgehen, und ein bekanntes Angriffsziel für böswillige Akteure.“

Remote-Operationen erhöhen auch das Risiko von Phishing-Versuchen mithilfe von Social Engineering. Ein solcher Angriff könnte "Mitarbeiter identifizieren, die wahrscheinlich privilegierten Zugriff haben, damit ihre Anmeldeinformationen ausgenutzt werden können, um über zunehmend zugängliche Remote-Gateways Zugang zu Kontrollsystemumgebungen zu erhalten", sagte Carrigan.

Beurteilung von Bedrohungen nach Sektor

Der Ansturm auf die Bereitstellung von Automatisierung und Fernzugriff wird nicht im gesamten Industriesektor einheitlich sein. „Die kritischsten kritischen Infrastruktursysteme“ haben in der Regel etablierte Protokolle und definieren Kernprozesse weniger wahrscheinlich neu, sagte French Caldwell, Mitbegründer des Analyst Syndicate. Kritische Infrastrukturen wie Kernkraftwerke, Ölraffinerien und Chemiefabriken sind weniger wahrscheinlich von sozial distanzierenden Arbeitsbeschränkungen betroffen, da Ausnahmen für solche Einrichtungen gelten.

Kritische Infrastrukturunternehmen haben in der Regel auch regulatorische Anforderungen an die Cybersicherheit. Energieversorger müssen beispielsweise die Cybersicherheitsstandards der Federal Energy Regulatory Commission und der North American Electric Reliability Corporation befolgen.

Am anderen Ende des Spektrums steht die industrielle Infrastruktur wie Heizung, Lüftung und Klima (HLK), Beleuchtung und Anlagentechnik. Solche Systeme werden „jetzt seit Jahrzehnten aus der Ferne betrieben und überwacht“, sagte Caldwell.

Unternehmen in der Mitte dieser beiden Pole erhöhen laut Caldwell eher die Automatisierung und die Remote-Arbeitsinfrastruktur. „Es gehört zu der sehr großen mittleren Gruppe von Systemen, bei denen es ohne Zweifel bereits einen pandemiebedingten Anstieg des ICS-Fernzugriffs gibt“, sagte er.

Das letzte Wort

Letztlich muss jede Organisation die Risiken und Chancen der Digitalisierung und Automatisierung bewerten. Das Risiko, sich zu langsam zu bewegen, kann die Langlebigkeit eines Industrieunternehmens ebenso gefährden wie ein überstürzter Einsatz. „Es gibt viele verschiedene Ansichten darüber, was automatisiert werden soll, wie viel und wann automatisiert werden soll“, sagte Nitin Kumar, Chief Executive Officer von Appnomic. „Physische Vermögenswerte werden zunehmend digital. Wenn die Automatisierung nicht mit einem adäquaten digitalen Prozess darum gewoben wird, wird ein sehr ineffizientes digitales Betriebsmodell entstehen.“

Eines ist universell:Organisationen müssen zusammenarbeiten, um diese Probleme zu lösen. Insbesondere während der Pandemie müssen Ingenieure und IT-Führungskräfte „zusammenschließen, um sicherzustellen, dass Zuverlässigkeit und Sicherheit sowohl auf die Kritikalität der Systeme als auch auf die Sicherheitsrisiken abgestimmt sind“, sagte Caldwell. Nach Abklingen der Pandemie haben Unternehmen mehr Zeit, um zu prüfen, wie sie die Automatisierung und den Fernzugriff von ICS-Systemen erweitern können, um „sowohl unerwartete Eventualitäten zu bewältigen als auch die Effektivität und Effizienz des täglichen Betriebs zu verbessern“, sagte Caldwell.

Aus geschäftlicher Sicht sollten Unternehmen Strategien zur Bereitstellung von Automatisierung in Betracht ziehen, um die Widerstandsfähigkeit angesichts von Unsicherheit zu erhöhen. „Es herrscht Unklarheit über die Dauer des Shutdowns und die Risiken für die Belegschaft, selbst wenn die Wirtschaft in eine halboffene Haltung übergeht“, sagte Kumar. Sicherer ist jedoch die Wahrscheinlichkeit, dass die Aktionäre "weiterhin fordern werden, während die Erholung zunimmt", fügte er hinzu.

Technologien wie Automatisierung, KI und Fernzugriff können es Industrieunternehmen ermöglichen, mit weniger mehr zu erreichen. Diejenigen, die sie einsetzen möchten, sollten dies mit Vorsicht tun. Trotz des Sprichworts „Security by Design“ befinden sich viele Unternehmen in einer Art kontinuierlichen Behebungsmodus. „Sicherheit sollte von Anfang an eine funktionale Anforderung sein“, sagt Sean Peasley, Partner bei Deloitte.