Sicherheit Ihres Shopfloor-Netzwerks: Sind Sie vorbereitet?

Es steht vielleicht nicht im Fokus, aber Lohnfertiger und mittelständische Hersteller müssen über IT/OT-Cybersicherheit nachdenken – besonders bei Militär- und Rüstungsaufträgen. Die Vorschriften sind da. Sind Sie bereit?

Reicht es, neueste Maschinen und Werkzeugtechnologien wie 5-Achs-Maschinen anzuschaffen, Azubis und neue Zerspaner einzustellen und zu fördern, Teile zu fertigen und Wartungspläne einzuhalten? Mit smarten Sensoren und internetbasierter Infrastruktur, die Mitarbeiter nun auf dem Shopfloor nutzen, gibt es so viel Technologie in und um Maschinen und Steuerungsräume der meisten Betriebe.

Sicherheitsmanagement ist jetzt ein echtes Thema und umfasst die Verwaltung aller Systeme und des Mitarbeiterverhaltens. Für Betriebe, die Teile für die Rüstungsindustrie fertigen, ist Sicherheit ein Top-Compliance-Thema mit echten geschäftlichen Konsequenzen.

„Die Realität heute ist, dass kleine bis mittelständische Hersteller an der Kapazitätsgrenze laufen, Aufträge hereinkommen und das größte Problem darin besteht, Talente zu finden und zu halten – der größte Engpass, um Produkte auszuliefern. Angesichts all der täglichen Entscheidungen steht Cybersicherheit nicht hoch auf dem Radar“, sagt Elliot Forsyth, Vizepräsident für Geschäftsbetrieb am Michigan Manufacturing Technology Center, in einem Artikel für Advanced Manufacturing.

Wir sprechen mit Brancheninsidern über den Stand der Sicherheit in der heutigen Fertigung – und wohin die Reise geht.

Industrielle Cyberangriffe: Datendiebstahl, Spionage und mehr

Das Internet ist ein fantastisches Werkzeug und Segen fürs Geschäft. Aber es ist auch ein Ort krimineller Aktivitäten, wo Betrug, Erpressung, Diebstahl und Systemmanipulation allzu oft passieren.

Die Fertigung blieb von Sicherheitsproblemen nicht verschont. Industriesektoren wie Öl und Gas sowie kritische Infrastrukturen wie Elektro- und Atomkraftwerke müssen ihre Sicherheit ebenfalls stärken. 2018 wurden petrochemische Unternehmen in Saudi-Arabien gehackt, um Betriebsabläufe zu sabotieren und Explosionen zu verursachen.

Das ist ein Extremfall, aber er kann passieren. Die Mehrheit der Sicherheitsvorfälle zielt auf Finanzdaten und geistiges Eigentum ab.

„Es ist ein sehr unsicherer Raum“, sagt John Livingston, CEO von Verve Industrial Protection. „Die meisten Hersteller kennen das Problem nicht oder haben keine internen Ressourcen [dafür]. … Einerseits setzen viele auf Cloud-Dienste, andererseits auf alte Betriebssysteme in ihren Umgebungen, die nicht gepatcht sind.“

2018 gab es 352 Sicherheitsvorfälle in der Fertigung, 87 davon mit bestätigter Datenoffenlegung, laut Verizons „2019 Data Breach Investigations Report“, einer der umfassendsten jährlich veröffentlichten Studien.

„Zum zweiten Jahr in Folge überwiegen finanziell motivierte Angriffe Cyberespionage als Hauptgrund für Datenschutzverletzungen in der Fertigung, und dieses Jahr mit einem signifikant größeren Abstand (40 Prozent Unterschied)“, schließen die Autoren des Verizon-Berichts. „Wäre dies in den meisten anderen Branchen, wäre es nicht erwähnenswert, da Geld der Grund für die allermeisten Angriffe ist. Die Fertigung hat jedoch in den letzten Jahren ein höheres Niveau an spionagebedingten Verletzungen erlebt als andere Branchen.“

Wenn das Ziel Spitzenproduktion und Teilefertigung ist, besteht kein Zweifel, dass Technologie eine zentrale Rolle spielt, um Unternehmen beim Erreichen ihrer Ziele zu helfen. Das Sammeln und Überwachen präziser Maschineninformationen wird immer kritischer für Spitzenleistung.

Lohnfertiger sind oft mit dem Internet verbunden, und die von Mitarbeitern genutzten Anwendungen – E-Mail, Websites, mobile Apps – können Angreifern alle Türen öffnen, um an Mitarbeiter- und Unternehmensinformationen oder geistiges Eigentum zu gelangen. Dazu gehören Bibliotheken mit Teilespezifikationen, die ein OEM nicht in Wettbewerberhände sehen will und die ein Staat nicht in fremde Hände gelangen lassen möchte.

„Hersteller müssen eine Risikobewertung ihrer Abläufe durchführen“, sagt Koushik Subramanian, strategischer Berater des National Center for Cybersecurity in Manufacturing, in einem Artikel für Advanced Manufacturing. „Risiken können technisch sein – in Maschinen, Steuerungen oder Software – und auch in Personal, Praktiken und Prozessen liegen. Risiken nehmen viele Formen an, aber die häufigste sind Cyberangriffe, bei denen böswillige Einzelpersonen oder Gruppen versuchen, in Systeme einzudringen, indem sie das schwächste Glied ausnutzen: Menschen. Deshalb sind Phishing und Ransomware so beliebt und Angriffe nehmen zu.“

Für kleinere Betriebe bedeutet Computerverwaltung oft, externe IT-Firmen zu beauftragen. Für mittelständische und große Hersteller kann es eine hybride Form aus internem IT-Personal und externer Hilfe für komplexere Technologiefragen bedeuten.

„Die meisten der Branche durchlaufen diese Bewusstseinsphase“, sagt Livingston. „Sie beginnen zu verstehen, dass es ein Problem gibt. Aber sie fragen sich: ‚Wie fasse ich die Welt an, die noch nie wirklich als internetbasierte Infrastruktur gemanagt wurde?‘“

Haben Sie eine technische Frage? Fragen Sie das MSC Metalworking Tech Team im Forum.

Change Agents: Standards, staatliche Förderung und Drittanbieter-Services

Das National Institute of Standards and Technology (NIST) regelt kritische Infrastrukturen und setzt die Regeln für Luft- und Raumfahrt sowie Rüstung. 2016 veröffentlichte NIST SP 800-171 mit Regeln zum „Schutz kontrollierter unklassifizierter Informationen in nichtföderalen Systemen und Organisationen“.

Die Standards enthalten strenge Sicherheitskontrollen, die OEMs und Rüstungsunterauftragnehmer aller Größen betreffen. Wer nicht konform ist, kann wahrscheinlich nicht auf Aufträge bieten.

„Für die meisten Hersteller, die nicht in kritischer Infrastruktur tätig sind, ist ein Produktivitätstagverlust durch ein Sicherheitsproblem kein nationaler Notfall, aber er schmerzt die Bilanz“, sagt Scott Sawyer, CTO von Paperless Parts. „Wo dies wirklich ins Spiel kommt, ist geistiges Eigentum. Das Verteidigungsministerium kümmert sich sehr um diesen Bereich.“

Es betrifft Hersteller aller Größen.

„Selbst 100- bis 200-Mann-Unternehmen kämpfen damit“, sagt Sawyer. „Plötzlich müssen sie herausfinden, wie sie konform werden.“

Wie gehen Unternehmen damit um? Einige, die Verträge halten oder neue in der Rüstungsindustrie gewinnen wollen, holen Berater ins Boot und implementieren Sicherheitsprogramme. Staat und lokale Wirtschaft können durch solche Vorschriften negativ betroffen sein. Es kann teuer werden. Deshalb bieten Organisationen Finanzierung an, um Unternehmen bei der Einhaltung von Sicherheitsstandards durch Manufacturing Extension Partnerships (MEP) zu helfen.

Um mehr über Verteidigungsministeriums-Bemühungen und NIST zu erfahren, sehen Sie sich dieses Video an.

Das ist gute Nachricht für die, die beim Sicherheitsthema am Ball bleiben, aber die meisten Hersteller tappen noch im Dunkeln. Besonders kleinere Betriebe, erklärt Sawyer.

„Manche haben ein falsches Sicherheitsgefühl. Sie glauben, sie seien nicht gefährdet, weil sie klein, abseits und ländlich gelegen sind, wenige Mitarbeiter haben und ein niedriges Marketingprofil pflegen“, sagt Sawyer. „Aber genau das könnte sie zum Ziel machen. Sie sind ein leichteres Ziel als Lockheed Martin, Raytheon oder Northrop Grumman, weil ihnen die Sicherheit fehlt.“

Jene größeren Unternehmen sind zwar Ziele, aber auch viel raffinierter im Umgang mit klassifizierten Spezifikationen und physischer Sicherheit, erklärt Sawyer. Sawyer weiß das – er arbeitete Jahre in der Rüstungsindustrie, bevor er in die Fertigung wechselte.

Rüstungsfirmen schulen Mitarbeiter darin, außerhalb des Werks nicht über Arbeit zu sprechen. Viele werden angewiesen, ihren Werksausweis nach Verlassen außer Sicht zu bringen. Doch selbst diese Bemühungen haben motivierte Angreifer nicht daran gehindert, an wichtiges geistiges Eigentum zu gelangen.

„Wenn Sie an amerikanische Fertigung glauben und patriotisch sind, sollte ein Teil davon die Sorge um die Informationssicherheit beinhalten“, sagt Sawyer.

Wie handhabt Ihr Betrieb Sicherheit heute? Rüsten Sie auf oder sind Sie im „Unwissenheit ist Glückseligkeit“-Modus? Diskutieren Sie im Forum. [Registrierung erforderlich]