KEM Konstruktion 12.2019

TRENDS
SECURITY IN DER INDUSTRIE 4.0
Prozess zum Design einer Security-Automatisierungslösung
Bild: Phoenix Contact
Bild: Phoenix Contact
ICS-Security versus IT-Security
Die Anwendungsfelder ISO 27000 und IEC 62443
Bild: Phoenix Contact
feststellung für die Automatisierungslösung vor, die für die eingesetzte
Informationstechnik ausreichend und angemessen ist (Bild 5).
Bedrohungsanalyse
Auf dieser Basis erfolgt eine Bedrohungsanalyse. Sie gründet sich
beispielsweise auf den Top-10-Bedrohungen des Bundesamts für Sicherheit
in der Informationstechnik (BSI) und wird gegebenenfalls
durch betreiberspezifische Themen erweitert. Gemeinsam mit dem
Betreiber werden die Gefährdungen hinsichtlich der Relevanz für die
Automatisierungslösung bewertet und schriftlich festgehalten. Der
Bedrohungsanalyse liegen ebenfalls die Schutzziele Verfügbarkeit,
Integrität und Vertraulichkeit zugrunde.
Risikoanalyse
Auf den detektierten Bedrohungen beruhend wird eine Risikoanalyse
vorgenommen, auf welche die Risikobehandlung folgt. Die Bedrohungen
lassen sich auf Basis des vorhandenen Risikos (Produkt
aus Schaden und Eintrittswahrscheinlichkeit) beurteilen:
• Für Risiken, die für das Unternehmen nicht akzeptabel sind, werden
Maßnahmen erarbeitet und die Auswirkung auf die Bewertung
geprüft.
• Sofern sich das Risiko auf ein akzeptables Niveau mindern lässt,
sollten die Maßnahmen unter Beachtung der Wirtschaftlichkeit
realisiert werden.
Im Ergebnis erhält der Betreiber eine Handlungsempfehlung für ein
ganzheitliches, individuelles und produktneutrales Sicherheitskonzept,
das auf die speziellen Anforderungen seines Unternehmens
abgestimmt ist.
Risikobehandlung
Im Rahmen der Risikobeurteilung wird entschieden, wie mit den
verbleibenden Risiken umzugehen ist. Mögliche Risiko -
behandlungs-Optionen sind:
• Risiken lassen sich vermeiden, weil beispielsweise die Risikoursache
ausgeschlossen wird.
• Eine Reduzierung des Risikos ist möglich, indem eine Modifizie-
Unterstützung durch
umfassendes
Leistungsspektrum
PLUS
Phoenix Contact wurde im April 2019 vom TÜV Süd als eines
der ersten Unternehmen in Deutschland nach der Normenreihe
für OT-Sicherheit IEC 62443-2-4 zertifiziert. Die Zertifizierung
bestätigt, dass das Unternehmen gemeinsam mit seinen
Kunden sichere Automatisierungslösungen entwickeln
und realisieren kann. Folgende Security-Dienstleistungen
werden angeboten:
• Erarbeitung von individuellen Lösungen und Konzepten für ausfallsichere
Netzwerkstrukturen, zur Absicherung oder Fernwartung
von Maschinen sowie für leistungsfähige Funknetzwerke
auf der Grundlage der verschiedenen Branchenstandards
• Umsetzung der Security- und Netzwerkanforderungen hinsichtlich
Konfiguration und Dokumentation, Einführung von Managementsystemen,
Erkennung und Beseitigung von Anomalien,
Wartung des Netzwerks sowie Test der in Betrieb genommenen
Systeme.
• Unterstützung bei der Installation von Sicherheits-Updates sowie
der Anpassung der Firewall-Regeln
• Durchführung von Security-Grundlagen- und Expertenschulungen,
Security-Awareness-Schulungen, Ethernet-Grundlagenschulungen
sowie individuellen Praxistrainings, die speziell auf
die jeweiligen Bedürfnisse zugeschnitten sind.
22 K|E|M Konstruktion 12 2019