Genua

OT Security ist kein Feenstaub

25. Juni 2021, 9:17 Uhr | Andrea Gillhuber

Für OT Security besteht akuter Handlungsbedarf: Eine zeitgemäße Strategie für OT Security kombiniert Regeln, Verfahren und Maßnahmen mit dem Defense-in-Depth-Prinzip und KI-gestützter Angriffserkennung – und berücksichtigt die wichtigsten OT-Security-Schutzziele von Anfang an.

Die zunehmende Vernetzung von Maschinen, Anlagen, industriellen Steuerungssystemen sowie Automatisierungslösungen hebt die bisherige physische Trennung der OT (Operational Technology) von anderen IT-Systemen auf. Für den Schutz der jetzt potenziell auch von außen angreifbaren OT-Netze sind klassische IT-Security-Lösungen oft nicht anwendbar. Häufig wird ein wirksamer Schutz durch veraltete Betriebssysteme, nicht erwünschte Eingriffe in laufende Prozesse, nicht umsetzbare Sicherheits-Updates oder nachträgliche Härtungsmaßnahmen verhindert. Jeder zweite erfolgreiche Angriff führte in der Vergangenheit zu Produktions- beziehungsweise Betriebsausfällen, so das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Das Defense-in-Depth-Prinzip

Ein wirksamer Schutz für die Vertraulichkeit, Integrität und Verfügbarkeit von OT-Netzen ergibt sich aus dem Zusammenspiel von Regeln, Verfahren, Maßnahmen und Tools, wie sie unter anderem im Informations-Sicherheits-Management-System (ISMS gemäß ISO/IEC 27000) und der Norm für ‚Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme‘ (IEC 62443) definiert sind sowie unter dem Stichwort ‚Cyberresilienz‘ aktuell diskutiert werden (siehe Kasten: Cyberresilienz: Das neue IT-Security-Paradigma).

In der Norm IEC 62443 definiert das Defense-in-Depth-Prinzip (gestaffelte Verteidigung) den Schutz gegen Cyberangriffe in mehreren Schichten ähnlich einer Zwiebel: Auch wenn eine Sicherheitsschicht überwunden wurde, ist nur ein Teil des Netzes betroffen. Das Gesamtsystem ist durch weitere Sicherheitsebenen geschützt. Diesem Konzept folgend ist es sinnvoll, interne Netzwerke in unterschiedliche Sicherheitszonen aufzuteilen und gestaffelte Schutzlevel zu vergeben. So können besonders sensible Segmente von anderen Bereichen strikt getrennt werden. Die Zonenübergänge und die Kommunikation zwischen den Zonen können durch Industrial Firewalls und entsprechende Filterregeln restriktiv begrenzt werden.