Tiefenwirkung

Der Einsatz

Natürlich lässt sich Defense in Depth (DiD) auch in der Office-IT umsetzen: Dort steht als zu schützendes Asset die Information im Mittelpunkt. Die DiD-Ebenen (oder auch -Schichten) beziehen sich dann auf Anwendungen, IT-Systeme, Netzwerke, Infrastuktur und übergeordnete Aspekte – der BSI-Grundschutz lässt grüßen. Auch die Anwendung auf ein einzelnes IT-System ist denkbar und wird zum Beispiel in einem Beitrag von Microsoft TechNet für Windows Server 2008 beschrieben [3].

Anders sieht es bei IACS aus: Im Gegensatz zur Office-IT hat hier die Verfügbarkeit der Produktionsanlagen höchste Priorität. Daher werden die maßgeblichen Ebenen des Defense in Depth vor allem durch Anforderungen an die Anlagen- und Netzwerksicherheit sowie die Systemintegrität bestimmt.

Wie eine Defense-in-Depth-Strategie auf gesicherter Basis für industrielle Systeme umgesetzt werden kann, beschreibt der in Entwicklung befindliche ISA 62443 – "Security for Industrial Automation and Control Systems" [2]. Der aus dreizehn Einzeldokumenten bestehende Standard wird zurzeit durch eine Working-Group der "International Society of Automation" (ISA,  www.isa.org/isa99) bearbeitet und soll voraussichtlich noch 2014 in der finalen Version zur Verfügung stehen. Einige schon vorliegende Teile wurden bereits von der "International Electrotechnical Commission" (IEC) in der Reihe IEC 62443 "Industrial communication networks – Network and system security" übernommen. Es wird außerdem erwartet, dass sich der Standard unter der Nummer 27020 in die ISO-2700x-Serie einreiht.

Der Standard

Mit Blick auf eine DiD-Strategie ist besonders die Einführung von Sicherheitszonen und der Übergang (Conduit) zwischen diesen Zonen ein wesentliches Merkmal des Standards. Dabei werden alle logischen und physischen Assets, die gemeinsame Sicherheitsanforderungen aufweisen, in einer Zone zusammengefasst (z. B. Controller-Zone) – jedwede Kommunikation zwischen Zonen darf nur über definierte Conduits erfolgen. Typische Zonen und ihre Elemente sind:

• die Produktionsführung (ERP),
• die Betriebsführung (Engineering, MES),
• die eigentliche Prozessführung (EWS), die eine weitere Zone auf Ebene der Feld-Infrastruktur enthalten kann,
• die Safety-Zone (SIS-Controller) und
• die externe Zone (Remote-Operations, Business-Partners).

Dabei ist es empfehlenswert, alle oder einzelne Zonen weiter zu segmentieren, beispielsweise beim Betreiben mehrerer Produktionslinien.

Aufgabe der jeweiligen Conduits ist es, den Zugang zu einer anderen Zone zu regeln und durch geeignete Sicherheitsmaßnahmen zu schützen. Je nach Art der Bedrohungen und daraus entstehenden Risiken für die Zielzone können das zum Beispiel Maßnahmen zur Abwehr von Denial-of-Service-(DoS)-Attacken oder der Schutz der Integrität und Vertraulichkeit des Netzwerkverkehrs sein.

Das Maß der zu erreichenden Sicherheit innerhalb der einzelnen Zonen wird in Anlehnung an die Safety in vier Security-Level unterteilt. Für jede Zone sind grundsätzliche Sicherheitsanforderungen (Foundational Requirements – FR) zu erfüllen, konkret:

• Identification and Authentication Control (IAC),
• Use Control (UC),
• System Integrity (SI),
• Data Confidentiality (DC),
• Restricted Data Flow (RDF),
• Timely Responses to Events (TRE) sowie
• Resource Availability (RA).

Das innerhalb eines Risk-Assessments ermittelte Security-Level bestimmt dann für jede dieser Anforderungen (FR) die eigentlichen technischen Systemanforderungen (System Requirements – SR). Als ein Beispiel für das höchste Security-Level 4 und die FR IAC sei etwa nach ISA/IEC 62443 Teil 3-3 die Anforderung genannt, dass zur Nutzeridentifikation und Authentifizierung eine Multi-Faktor-Authentifizierung erforderlich ist (SR 1.1 RE (3)).

In der Praxis ist eine konsequente Umsetzung des Standards naturgemäß dann am leichtesten, wenn sich Produktionsanlagen noch in einer frühen Phase der Planung (Design) befinden: Hier lassen sich die spätere Netzwerkarchitektur und die mit den notwendigen Sicherheitsmaßnahmen verbundenen Kosten noch weitreichend beeinflussen. In bestehenden Strukturen sind die Maßnahmen innerhalb einer Zone nur schwierig umzusetzen – so sind etwa die für eine Wartung von Produktionsanlagen (Maintenance) geplanten Zeiten dafür in der Regel kaum ausreichend. Sicherheitsmaßnahmen für Conduits lassen sich jedoch meist noch mit vergleichsweise überschaubarem Aufwand umsetzen.

Die rein technischen Sicherheitsmaßnahmen müssen auch für IACS Teil eines ganzheitlichen Informationssicherheits-Managementsystems (ISMS) sein: Teil 2-1 des Standards beschreibt die dazu notwendigen Bestandteile, während ISA/IEC 62443-2-2 die Implementierung des ISMS ausführt.

Neben einer durchgängigen Behandlung der IACS-Sicherheit im Kontext Cyber-Security sowie der Umsetzung einer Defense-in-Depth-Strategie betont der Standard zudem auch die Bedeutung des immer wichtiger werdenden Zusammenspiels zwischen Herstellern, Integratoren und Betreibern von Automatisierungs- und Steuerungssystemen.

Zusätzlich wird deutlich, dass auch CSO und CISO zu einer engen Zusammenarbeit finden müssen. Doch auch anderen Verantwortlichen für die Produkt- und Produktionsentwicklung wird die Verpflichtung auferlegt, die Sicherheitsziele zu unterstützen – gerade mit Ausblick auf neue Technologie im Zusammenhang mit der "Industrie 4.0" ist das zwingend erforderlich.

Neue Herausforderungen

Der Grundstein für Industrie 4.0 sind so genannte Cyber-Physical Systems (CPS): Sie sind fähig, ihre Umwelt über Sensoren zu erfassen, diese Informationen zu verarbeiten und mit Aktoren ihrer Programmierung entsprechend zu reagieren. Sind sie Teil eines Produktes, teilen sie Maschinen ihren Bearbeitungsbedarf mit, speichern die Informationen über alle durchlaufenen Produktionsschritte und vieles mehr. Anders als ortsfeste Produktionsanlagen sind CPS ortsunabhängig und kommunizieren mit dem Internet der Dinge und Dienste. Allein diese wenigen ausgewählten Merkmale eines CPS bringen weitere und teilweise neue Bedrohungen und Risiken mit sich. Neben der bisher als vorrangig angenommenen Verfügbarkeit der Systeme in der Produktion erhält damit auch die Vertraulichkeit der in einem CPS gespeicherten Informationen mehr Bedeutung: So muss etwa ein Schutz vor Wirtschaftsspionage gewährleistet werden.

Innerhalb der gesicherten Umgebung des produzierenden Unternehmens können die Sicherheitsmaßnahmen durchaus hierauf ausgerichtet werden. Aber spätestens, wenn ein fertiges Produkt an den Endverbraucher ausgeliefert wird, ist keine Einflussnahme mehr möglich, da es dann in einer offenen und per se unsicheren Umgebung agiert. Doch selbst dann ist eine Defense-in-Depth-Strategie noch in der Lage, für die notwendige Informationssicherheit zu sorgen, sofern deren Ebenen unterschiedlicher Verteidigungslevel das CPS als eigene Zone behandeln.

Fazit

Defense in Depth ist auch zum Schutz von Automatisierungs- und Steuerungssystemen eine erprobte und durch Standards unterstützte Strategie. Dabei ist der Erfolg dieser Strategie heute mehr denn je von der Zusammenarbeit von CIO, CISO und CSO abhängig, die in jeder Phase des Product-Lifecycle-Managements erforderlich ist. Und spätestens mit der Managemententscheidung zum Einsatz neuer Verfahren im Umfeld von "Industrie 4.0" ist eine umfassende Berücksichtigung von Cyber-Security-Fragen auch in diesem Umfeld unumgänglich.

Marco Kupilas ist bei der Steria Mummert Consulting GmbH als Senior Consultant für den Themenbereich Industrial-IT-Security zuständig.