Zuständigkeiten klären
Da „Industrie 4.0“ aktuell noch eher ein Thema der Prozessoptimierer ist, ist es nicht weiter verwunderlich, dass die Sicherheit der Informationen in den Systemen sowie die Sicherheit der Netzanbindung vernachlässigt werden. Beispiele wie das eingangs angesprochene Problem von Industrieanlagen im Internet haben ihren Kern in mangelnder Verknüpfung in der Organisation von Produktion und IT. Aussagen der IT wie „Wir klemmen einfach eine Firewall dazwischen“ bis hin zu „Die kommen schon, wenn die was brauchen“ sind hier einfach zu kurz gegriffen. Da ist die Aufgabe des CISO, aktiv nach Projekten zu forschen und seine Expertise proaktiv mit einzubringen.
Solange die Organisation nicht ineinandergreift, ist es nicht sinnvoll, einen Schuldigen zu suchen. Wie so oft ist es die fehlende oder unzureichende Kommunikation, die Sicherheitslücken zutage treten lässt. Ein Beispiel aus dem Krankenhauswesen verdeutlicht dies: Oft arbeiten die Abteilungen für Medizintechnik und IT nebeneinander oder gegeneinander. Damit ergibt sich das offene Problem, dass Projekte meist nicht koordiniert angegangen werden, sondern zwei Tage vor Produktivsetzung einer neuen medizintechnischen Anlage die IP-Adresse angefragt wird. Change-Management, Risikomanagement und eine klare Definition der Anforderungen werden häufig nicht klar vorgenommen. Im Ergebnis kommt es auch hier oft vor, dass Sicherheitsanstrengungen dadurch untergraben werden, dass die Betriebssysteme der medizintechnischen Anlagen eine technische Realisierung nicht zulassen [2].
Im Bereich der Industrieanlagen und damit auch der vernetzten Produktion verhält es sich ähnlich. Oft unklare Zuständigkeiten oder nicht optimal abgestimmte Prozesse führen dazu, dass Produktionsanlagen entweder vom übrigen Netz abgekoppelt werden und damit für Optimierungen nicht sicher zugänglich sind. Alternativ werden die Industrieanlagen hinter umfangreichen Sicherheitsmaßnahmen platziert, die eine wirtschaftlich vertretbare Einbindung in die Produktionsprozesse der „Industrie 4.0“ nicht zulassen.
Standards schaffen
Daher sind neue Konzepte notwendig, um die Dimensionen Sicherheit, Funktionalität und Wirtschaftlichkeit in Einklang zu bringen. Das Feld dieser Konzepte ist jedoch noch weitgehend unerforscht. Aktuell sammelt die deutsche Industrie in der Plattform „Industrie 4.0“ [5] Teilnehmer, die bereit sind, bei der Entwicklung von Standards für die sichere Umsetzung vernetzter Industrieanlagen mitzuarbeiten. Hier sind die CISOs der deutschen Industrie gefordert, sich einzubringen. Nur wenn das Wissen über Sicherheitsthemen gepaart mit klaren Anforderungen der IT und der Produktionsplaner beleuchtet wird, ist es möglich, hierzu Standards zu schaffen, die anwendbar und praktikabel sind.
Gleichzeitig hat die Industrie in ihren bisherigen Überlegungen anerkannt, dass Sicherheit ein erfolgskritischer Faktor im Rahmen der „Industrie 4.0“ ist [6]. Auch hier setzt sich die Parallele zu Medizingeräten im IT-Netzwerk fort, die die Schutzwerte der Sicherheit um die sogenannte „Safety“, das heißt die Vermeidung der Beeinträchtigung von Leib und Leben, erweitert. Auch für Produktionsanlagen werden weitere Schutzwerte der IT-Sicherheit zu entwickeln sein. Welche Schutzwerte dies sein können, wird die Zukunft zeigen.
Gleichzeitig setzt auch hier die Forderung am Anfang an: Bereits bei der Gestaltung von Anlagen und Anlagenvernetzungen ist „Security by Design“ als Entwurfskonzept zu berücksichtigen. Auch dies dürfte damit eines der wichtigsten Einsatzfelder von Sicherheitsanalysten und CISOs werden. Ebenso spielen zukünftig die folgenden vom BSI entwickelten Handlungsfelder zur Sicherheit von Industrial Control Systems (ICS) eine immer größere Rolle im Aufgabengebiet [7]:
- integrierte Sicherheitskonzepte, -architekturen und -standards
- eindeutige und sichere Identitätsnachweise für Produkte, Prozesse und Maschinen
- Migrationsstrategie zur „Industrie 4.0“
- benutzerfreundliche Sicherheitslösungen
- wirtschaftliche Sicherheit
- Schutz vor Produktpiraterie
- Aus- und Weiterbildung
- Community-Building für Datenschutz in „Industrie 4.0“
Das zeigt, dass es viele Aspekte gibt, die bei der Umsetzung zu beachten sind. Einen Schnelltest, mit dem sich CISOs einen kurzen Überblick verschaffen können, ob ihr Unternehmen bereit für den Weg in die „Industrie 4.0“ ist, haben wir in einem Kasten zusammengestellt.
Fazit
Es bleibt zu hoffen, dass gerade die Geschäftsführung der Unternehmen dazu beiträgt, das wandelnde Rollenverständnis von CISO und CIO besser wahrzunehmen. Hier ist das Management gefordert, beide Rollen als „Partner des Geschäfts“ wahrzunehmen und einzubinden. Nur wenn Risiken, die sich aus der stärkeren Vernetzung von Anlagensteuerung und Verwaltungsnetzen ergeben, sinnvoll berücksichtigt und gesteuert werden, kann es einen langfristigen wirtschaftlichen Effekt geben. Geschieht das nicht, ist die Gefahr, dass durch unbekannte und nicht bewertete Sicherheitsrisiken Produktionsprozesse zum Stillstand gebracht werden, sehr groß.
Die Herausforderungen für CISOs beim Zukunftsprojekt „Industrie 4.0“ und bei der Sicherheit von Industrieanlagen im Allgemeinen sind riesig. Vor allem das Umdenken weg von unidimensionalen Risikobetrachtungen hin zu ganzheitlichen Szenarien und Simulationen schafft neue Möglichkeiten, die Risiken für verschiedene Angriffsvektoren wirtschaftlich und sicher zu beherrschen. Dabei wird Kommunikation und sinnvolle Standardisierung der Schlüssel zum Erfolg sein. Hier sind die CISOs der Industrieunternehmen gefordert, sich aktiv in die Bestrebungen zur Standardisierung mit einzubringen. Nur wenn bereits von Anfang an Sicherheit beim Gestalten der „Industrie 4.0“ eine maßgebliche Rolle einnimmt, ist gewährleistet, dass Produktionsprozesse sicher bleiben. Dabei sind neue und auf die Anforderungen angepasste Standards sowohl auf der technischen Ebene wie auch als Managementsystemergänzung dringend notwendig.
Von Frederik Humpert-Vrielink ist Senior Consultant bei der CETUS Consulting GmbH.
![[ALTText]](fileadmin/_migrated/pics/13-4-056-1.jpg)
