Industrial IoT absichern: Praktische Strategien für Cyber-Physische Systeme

Wenn Organisationen Industrial-Internet-of-Things-Initiativen (IIoT) starten, kann der Begriff für Security-Teams abstrakt wirken. „Security Practitioners müssen über Konzepte hinausgehen und sich auf die konkreten Realitäten cyber-physischer Systeme fokussieren“, sagt Katell Thielemann, VP Analyst bei Gartner.

Thielemann warnt, dass Speed oft Security trumpft. „Initial Deployment sollte nicht eine ganzheitliche Strategie outpacen, die den gesamten Lifecycle der Systeme abdeckt“, merkt sie an. Zu viele Firmen wenden immer noch einen IT-zentrischen View auf industrielle Umgebungen an, was kritische Assets verwundbar lassen kann.

Santha Subramoni, Global Head of Cybersecurity Services bei Tata Consultancy Services, hebt die wachsende Executive- und Regulatory-Aufmerksamkeit gegenüber Operational Technology (OT) Security hervor. Sie erklärt, dass das Bringen von OT in volle Cyber-Visibilität komplex ist: die Threat Surface ist riesig und spannt Sensoren, Edge Devices, Konnektivität, Daten, Applikationen und Hosting-Ökosysteme. Legacy-Technologien und isolierte Netzwerke limitieren Endpoint-Visibilität weiter, was Prevention schwierig macht.

Subramoni betont die Notwendigkeit kontinuierlicher Vulnerability-Tracking across multiple Levels. „Organisationen müssen einen up-to-date Katalog von Vulnerabilities und die Technologie zu deren Adressierung pflegen“, sagt sie.

Case Study: HIL Ltd. sichert sein IIoT-Deployment

Building-Materials-Hersteller HIL Ltd. begann seine Digital Transformation mit Digital-Shopfloor-Technologie in vier indischen Plants, laut CIO Murali Raj. Das System vernetzt alle Maschinen auf einem einzelnen Netzwerk, was Effizienz und Qualität erhöht.

„Wir bewegen uns jetzt zu Predictive Maintenance und Quality“, erklärt Raj. „Security muss sich parallel zu diesen neuen Fähigkeiten entwickeln.“ Echtzeitdaten von Sensoren, PLCs und SCADA-Systemen werden via HILs IT-Netzwerk in die Cloud übertragen, wo sie instantly analysiert und Alerts für Operatoren generiert werden.

Zuvor operierten SCADA-Systeme in isolierten „Inseln“. Der Shift zu Internet-Konnektivität erforderte Firewalls auf der IT-Seite und rigide Device-Security-Standards. Regelmäßiges Firmware- und Software-Patching wurde mandatory.

Über Technologie hinaus adressierte HIL People und Processes. „Unsere Maintenance- und Electrical Engineers hatten zuvor keine Interaktion mit IT- oder Security-Teams“, sagt Raj. „Jetzt kollaborieren sie, teilen Updates und adoptieren IT-Security-Praktiken wie Rollenberechtigungen und Passwort-Management.“ Externe Partner EY und Deloitte lieferten ein objektives Framework, um IT- und OT-Security abzugleichen.

Kritische Devices und Assets schützen

Obwohl IIoT-Angriffe seltener sind als traditionelle IT-Breaches, kann ihr Impact katastrophal sein – von Produktionsverlust bis Equipment-Damage, Data Theft, Industriespionage und sogar körperlicher Schaden. Asaf Karas, CTO bei Vdoo, drängt Organisationen, kritische Assets vom Moment der Production an zu schützen.

Karas empfiehlt:

• Risk und Threat Management implementieren, tailored zu industriellen Umgebungen.
• Neue Devices by Design sichern, exploitable First- oder Third-Party-Schwächen eliminieren.
• Asset-Management-Tools nutzen, um industrielle Assets post-Deployment zu discover und identifizieren.
• Endpoint Runtime Agents deployen, spezifisch gebaut für IIoT-Devices, um kontinuierliches Monitoring zu ermöglichen.

Hyper-Konnektivität managen

Viele IIoT-Devices wurden nicht mit Security im Sinn gebaut, sagt Kyle Miller, Principal/Director bei Booz Allen Hamilton. Legacy Real-Time Operating Systems fehlen die Protektionen moderner IT-Plattformen, was die Attack Surface einer Organisation dramatisch erweitert.

Miller rät, eine Zero-Trust-Umgebung zu etablieren, die kontrolliert, welche Devices kommunizieren dürfen, und Blast Radius im Kompromittierungsfall limitiert. „Vor IIoT-Deployment, Risiken verstehen“, sagt er. „Vendor Security Posture, Encryption und Access Controls assessen.“

Segmentierung ist essenziell: „IIoT-Devices sollten von anderen IT- und OT-Netzwerken isoliert werden, um zu verhindern, dass ein einzelner Breach sich ausbreitet“, fügt Miller hinzu.

Organisatorische Cyber-Hygiene

David Forbes, Principal/Director bei Booz Allen Hamilton, betont, dass viele Breaches aus schwacher organisatorischer Hygiene resultieren. „Disziplin, Protokolle und Governance fehlen oft“, merkt er an. Industrielle Umgebungen werden für Angreifer zunehmend attraktiv, besonders nach dem Anstieg 2020er Vulnerabilities und Threats.

Thielemann betont einen Lifecycle-Ansatz: „Security Considerations müssen von Requirements und Design durch Purchase, Deployment, Maintenance und Retirement embedded sein.“ Industrielle Systeme verlangen einzigartige Constraints – physische Location, operative Resilienz, Safety – die in die Strategie integriert werden müssen. IT-zentrische Modelle müssen evolvieren, um Patching, Monitoring und Authentication in diesen Kontexten zu akkommodieren.

Subramoni fügt hinzu, dass während Engineering und Production meist IIoT ownen, „Transformation Oversight und Technology Modernization across the Organization koordiniert werden müssen.“ Trusted Partner können helfen, Protection zu skalieren während Kosten in dieser schnell evolvierenden Landschaft gemanagt werden.