ACHT:WERK NEWS

Vernetzte Automatisierungen und Produktionsanlagen ohne IT-Visualisierung? Geht das noch? Sie lesen es schon in der Art der Überschrift: Nein, es geht nicht mehr ohne die Visualisierung der genutzten Informationstechnologien (IT) in Ihren Anlagen.

Industrial Security – der Anfang: Die IT-Visualisierung
Kurz zur Erinnerung: In den 1990er-Jahren wurde damit begonnen, die Prozessvisualisierungen mit IT-basierten Produkten auf Standard-PC-Systemen zu realisieren. Die Vorteile wurden schnell klar: Softwarebasierte Prozessdarstellungen konnten schnell und kostengünstig realisiert, Werte angezeigt und Alarmierungen ausgegeben werden und sogar ein vereinfachtes Bedienen war möglich; daneben war es auch die Flexibilität, alles an „jedem Ort“ anzeigen zu können. Später ermöglichte dann die Digitalisierung der Weitverkehrsnetze (ISDN, GSM, 3G), dass sich die Prozessvisualisierungen durchsetzten.

So, Achtung! Die Erweiterung der Anlagen mit IT-Produkten und Netzwerken ist seitdem in vielen Bereichen ein Standard. Prozessvisualisierung geht Hand in Hand mit der notwendigen IT-Visualisierung, es ist fast ein Gleichnis: Die Prozessvisualisierung zeigt den Status und Verlauf der automatisierten Produktion in Abhängigkeiten und Detailschritten an. Wenn es zu Abweichungen im Prozess kommt, werden Alarme erzeugt und ermöglichen Eingriffe zur Anpassung, Minimierung oder Änderungen.

Die IT-Visualisierung zeigt den Status und Kommunikationsverlauf der genutzten Scada-Steuerungen, -Aktoren und -Sensoren in ihren Abhängigkeiten und Details an. Wenn es hier zu Abweichungen kommt, werden ebenfalls Alarme erzeugt und ermöglichen Eingriffe zur Anpassung und Minimierung eines möglichen Ausfalls.

Eines ist völlig anders: Die extrem variablen Stati, autonomen Aktionen und Kommunikationsverläufe sind fast nie geplant oder designed („engineert“). Das bedeutet, dass Abweichungen nicht alarmiert werden. Und das wiederum bedeutet, dass Änderungen nicht erkannt werden. Was zur Folge hat, dass eine Störung oft erst in der Prozessvisualisierung erkannt wird und die möglichen Eingriffe zur Anpassung und Minimierung eines Ausfalls nicht rechtzeitig erfolgen können. Eine aufwendige Suche der Ursachen beginnt.

Was hat das mit Industrial Security zu tun? Nur mit der automatisierten, bestmöglich auch passiven, IT-Visualisierung bekommen Sie wieder die hundertprozentige Übersicht zu Ihrer Anlage. Sie verringern Ausfallzeiten und Betriebsaufwände. Sie erkennen Cyberangriffe genauso schnell wie eine Veränderung im Prozess. Es ermöglicht schnell die notwendige Eingriffe zur Minimierung eines potenziellen Ausfalls.

Ein Beitrag von Dieter Barelmann, Geschäftsführer der VIDEC GmbH

Mit hoher Geschwindigkeit hält die Vernetzung und übergreifende Kommunikation von IT-Systemen Einzug in die Produktionen. Basis dafür ist das Industrial Ethernet. Strikt getrennte Netze für den Datenaustausch in Produktionsanlagen sind nicht mehr vorhanden. Diese Vernetzung von Produktionsanlagen und ihrer Steuerungseinheiten mit der Büro-IT oder über das Internet bietet den Unternehmen nicht nur Vorteile durch eine kontinuierliche Optimierung und Flexibilisierung der Fertigung — sie birgt auch viele Gefahren.

Etablierte signaturbasierte Sicherheitselemente wie Antivirenschutz, Intrusion Detection oder Prevention Systeme erkennen nur bekannte traditionelle Schadsoftware wie Malware oder Trojaner. Für die neuesten Vorgehensweisen und Technologien heutiger Cyberangriffe ist dies nicht mehr ausreichend.

Deshalb stellt die effiziente Angriffserkennung und somit Absicherung von Produktionsanlagen gegen Cyberangriffe, interne Manipulationen oder fehlerhafte Konfigurationen eine zunehmende Herausforderung dar.

Ihr Anspruch

Sie wollen jederzeit den aktuellen Sicherheitsstatus Ihres IT-Netzes kennen? Die relevanten IT-Risiken sollen bekannt und bewertet sein? Auch im Falle eines Sicherheitsvorfalls z. B. durch einen Cyberangriff muss die Handlungsfähigkeit gewahrt bleiben?

Nur ein kontinuierliches Monitoring der Kommunikation in der Produktionsanlagen-IT entdeckt die neuartigen Cyberangriffe und Manipulationen. Um unmittelbar reagieren zu können und Schäden zu vermeiden braucht es eine intelligente Echtzeit-Analyse mit aussagekräftigen Alarmmeldungen, die priorisiert verteilt werden können.

Mit IRMA haben wir für diese Herausforderungen eine IT-Sicherheitslösung auf dem aktuellsten Stand der Technik entwickelt.

Tagesschau am 20.06.2016

Cyberattacken nehmen zu ….

https://Tagesschau.de

Manager, Vorstand und Aufsichtsräte haften im Schadensfall privat, wenn die IT-Sicherheit im Unternehmen vernachlässigt wird. So schützen Sie sich optimal.

Zum einen steigt die Anbindung der internen Netzwerke und Produktionsanlagen an das World-Wide-Web. Die Gefahr durch Cyber-Angriffe durch Schadsoftware ist rasant angestiegen. Die bisherigen Sicherheitsmaßnahmen wie Firewall und VPN reichen alleine nicht mehr aus, um den immer ausgefeilteren Angriffen standzuhalten.

Auf der anderen Seite sind dadurch auch die gesetzlichen Anforderungen an die IT-Sicherheit gestiegen. Neben dem KonTraG, AktG, AnSVG, TMG oder ITSiG lassen sich noch weitere Gesetze und Richtlinien aufzählen, die dies untermauern. Sie alle weisen auf die Verantwortlichkeit, aber auch die Haftung der Unternehmensführung in ihren unterschiedlichen Funktionen und Aufgaben hin. Die folgenden drei wesentlichen Eckpunkte spielen dabei eine wichtige Rolle.

IT-Risikomanagement unverzichtbar – drei Gründe

1. Beweispflicht für effektives IT-Risikomanagement

Im Schadensfall muss die Unternehmensführung beweisen, dass sie in der Vergangenheit alles Notwendige getan hat, um IT-Risiken zu minimieren. Sie muss dabei ihr IT-Risikomanagement als Beweis offenlegen: Wurden Risiken identifiziert und bewertet, wurden ausreichend Maßnahmen ergriffen die vorhandenen Risiken zu minimieren?

Wie diese Maßnahmen im Einzelnen aussehen können, zeigt das IT-Sicherheitsgesetz in der Änderung des BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) für die Betreiber besonders wichtiger Infrastrukturen (z. B. Energie, Informationstechnik, Telekommunikation, Gesundheit, Wasser oder

Ernährung). Diese müssen unter anderem einen Sicherheitsbeauftragten ernennen, der als Kontaktperson dem Bundesamt für Sicherheit in der Informationstechnik (BSI) rund um die Uhr zur Verfügung steht. Die Kontaktperson muss z. B. verdächtige IT-Störungen beim BSI melden, auch wenn das Unternehmen seine IT durch einen Dienstleister betreiben lässt.

Außerdem muss der Stand der IT-Technik mit einschlägigen Schutzmaßnahmen nach internationalen, europäischen und nationalen Normen erreicht sein. Branchenspezifische Sicherheits- und Notfallkonzepte sollten dokumentiert und umgesetzt werden.

Je nach Branche müssen zudem folgende Nachweise (durch Sicherheitsaudits, Prüfungen oder Zertifizierungen) erbracht werden:

• Information Security Management System (Sicherheitsorganisation, IT-Risikomanagement, etc.)

• Kritische Cyber-Assets werden identifiziert und gemanagt

• Maßnahmen zur Angriffsprävention und -erkennung

• Implementierung eines Notfall- und Krisenmanagements

2. Strafen bei fehlerhaftem Risikomanagement:

Bußgeld und Ersetzung des wirtschaftlichen Schadens

Sollte sich im Schadensfall herausstellen, dass Maßnahmen zur IT-Security nicht oder unzureichend erfüllt werden, kann es für die Unternehmensleitung zu hohen Strafen kommen. Darüber hinaus muss sie den wirtschaftlichen Schaden tragen, die durch den Ausfall der IT entstanden ist.

3. Private Haftung im Schadensfall

Sowohl Geldstrafen als auch der wirtschaftliche Schaden kann das Unternehmen gegenüber der Unternehmensleitung bei fehlender Risikovorsorge geltend machen. Sie muss dann u. U. im Schadensfall mit ihrem Privatvermögen haften. Das gilt auch für Mitglieder des Vorstandes und des Aufsichtsrates. Sie haften z. B. wenn IT-Risiken oder Mängel verschwiegen und keine bzw. unzureichende Gegenmaßnahmen in die Wege geleitet wurden (Vorstand).

Informationssicherheit – wirtschaftliche Schäden für das Unternehmen

Neben den hohen immateriellen Schäden (z. B. Imageverlust) muss ein Unternehmen mit hohen wirtschaftlichen Schäden rechnen:

Der Ausfall der IT-Technik und Produktionsanlagen führt zu

• Umsatzeinbußen und existenzieller Schädigung des Unternehmens

• Kosten für die Wiederherstellung und Schadensbeseitigung

• Erhöhung der Versicherungsleistungen bzw. Kündigung des Schutzes vonseiten der Versicherung

• Bußgeldern und Schadensersatzzahlungen

• Problemen bei der Wirtschaftsprüfung (Testat wird nicht ausgestellt)

Netzwerk Monitoring – mehr Informationssicherheit, weniger Haftungsrisiko

Eine Überwachung des Netzwerkverkehrs gilt als wichtiger Baustein für mehr IT-Sicherheit in vernetzten Produktionsanlagen. Auch wenn es hochkomplexe Cyber-Angriffe nicht direkt abwehrt, stellt es sich doch als effektives Analyse- und Alarmsystem heraus. Denn es scannt permanent firmeninterne Netzwerke und klar definierte Cyber-Assets ohne in das System einzugreifen. Ein aktiver Eingriff könnte die Produktionsanlage in einen unkontrollierten Zustand bringen. Mögliche Gefahrenherde werden analysiert, bewertet und Ergebnisse in einem übersichtlichen Reporting für die Geschäftsleitung und die Betriebsführung zur Verfügung gestellt. Die  Netzwerküberwachung leistet so einen wichtigen Beitrag für die Vorbereitung gezielter und wirksamer Gegenmaßnahmen.

Fazit zur Informationssicherheit und Haftung

Jedes Unternehmen sollte sich um das Thema IT-Sicherheit Gedanken machen. Denn zu groß sind die wirtschaftlichen Risiken für das Unternehmen. Nicht zuletzt trifft ein mangelndes IT-Risikomanagement auch die Unternehmensleitung (inkl. Vorstand und Aufsichtsrat) direkt, da sie mit ihrem gesamten Privatvermögen haftbar gemacht werden kann. Ein wichtiger Baustein für die Einhaltung von Vorgaben und Gesetzen ist ein Security Monitoring des Netzwerkverkehrs. Das System erkennt Gefahren und IT-Angriffe frühzeitig und liefert im Schadensfall notwendige Nachweise und Reportings als Beweis zur Erfüllung gesetzlicher Vorgaben