„Defense-in-Depth“: Grundlage für eine erfolgreiche Verteidigungsstrategie gegen Cyberangriffe

Industrieanlagen benötigen Cyber-Schutz. Dabei sind Schwachstellen in einem ganzheitlichen Ansatz zu überprüfen und in ein Defense-in-Depth-Konzept nach IEC 62443 zu überführen. Eine noch nicht verabschiedete Norm, die aber schon heute aktuell ist.

Cyber-Bedrohung und zunehmende Vernetzung industrieller Wertschöpfung – Industrieanlagen benötigen umfassenden Schutz. Die Abläufe im Produktlebenszyklus sind in einem ganzheitlichen Ansatz auf Schwachstellen zu überprüfen und in ein Defense-in-Depth-Konzept nach IEC 62443 einzubetten, das die IT-Sicherheit der Anlage, die Netzwerksicherheit und die Systemintegrität nach Stand der Technik gewährleistet. Eine Norm, wie die IEC 62443, bietet hier Orientierung. Denn im industriellen Umfeld konsolidieren sich verschiedene nationale Initiativen mehr und mehr in der Norm IEC 62443, auch bekannt als ISA-99. Sie adressiert die spezifischen Belange der IT-Sicherheit industrieller Anlagen. Obwohl die Definition der Norm in ihrer Gesamtheit noch nicht abgeschlossen ist, wächst ihre Akzeptanz in den relevanten Bereichen der Industrie.

Die Fabrik sicher betreiben

Die Norm IEC 62443 befasst sich mit der IT-Sicherheit sogenannter „Industrial Automation and Control Systems“ (IACS). Der Begriff IACS umfasst alle Bestandteile, die für den zuverlässigen und sicheren Betrieb einer automatisierten Produktionsanlage erforderlich sind. Das sind auf der einen Seite vernetzte Komponenten einer Automatisierungslösung, wie z. B. Steuerungen, Firewalls, Gateways, Switches, SCADA-Systeme oder PC-basierte Stationen. Der zweite Aspekt eines IACS schließt aber auch die organisatorischen Prozesse für einen sicheren Betrieb der Produktionsanlage ein. Dazu gehören Prozesse, die den Umgang und die Bedienung der Automatisierungslösung spezifizieren, interne Verantwortungsketten und Eskalationsprozesse, ebenso Schulungen für den sicheren Betrieb.

Der Anwendungsbereich der Norm deckt sowohl die Prozessindustrie als auch die diskrete Fertigung ab, dazu Gebäudeautomation, verteilte Versorgungssysteme für Strom, Öl oder Wasser, Pipelines und die Öl- und Gas-Produktion. Auch andere Industrien, die automatisierte oder ferngesteuerte Einrichtungen wie beispielsweise Transportnetzwerke verwenden, fallen in den Anwendungsbereich der IEC 62443.