IT-Sicherheit für Industrie 4.0

36 9 HANDLUNGSVORSCHLÄGE
9.3 Normungs- und
Standardisierungsorganisationen
Ausgehend von den vorgestellten technischen Konzepten
(s. Kap. 6.1 des Abschlussberichtes) und der Bewertung der
Normen und Standards (s. Kap. 6.4 des Abschlussberichtes),
werden nachfolgend entsprechende Handlungsvorschläge
formuliert die sich primär an Normungs- und Standardisierungsorganisationen
richten und Industrieunternehmen
als Anwender von I4.0 nur indirekt betreffen.
34) ERARBEITUNG EINER STRUKTUR FÜR
IT-SICHERHEITSSTANDARDS
Vorschlag: Erarbeitung einer für I4.0 passenden Struktur
und Klassifikation für IT-Sicherheitsstandards abgeleitet
aus dem Referenzarchitekturmodell Industrie 4.0 (RAMI4.0)
und den existierenden Referenzmodellen für ICS unter
Einbindung wichtiger Unternehmen aus dem Bereich
industrielle Produktion.
Tabelle 9-3: Priorisierte Handlungsvorschläge für Normungs- und Standardisierungsorganisationen
Handlungsvorschlag
Erarbeitung integrierter Standards für Safety & Security
Disziplin
Normung und Standardisierung
Erarbeitung einer Struktur für IT-Sicherheitsstandards
Normung und Standardisierung
Integration technischer Standards mit ISMS-Standards
Normung und Standardisierung
Engineering von sicheren IT-Systemen
Normung und Standardisierung
33) ERARBEITUNG INTEGRIERTER STANDARDS FÜR
SAFETY & SECURITY
Vorschlag: Erarbeitung eines integrierten Sicherheitskonzepts
im Sinne von Security und Safety durch Standardisierungsorganisationen
mit dem Ziel einer gemeinsamen
Zertifizierung.
Feststellung 32 : Für Safety gibt es eine Vielzahl branchenspezifischer
Standards. In diese Standards sollen zukünftig
die notwendigen Ergänzungen für IT-Security so eingebracht
werden, dass Vernetzung über offene Netzwerke möglich
wird. In Zukunft werden auch vermehrt Security-Zertifizierungen
gefordert werden. Ziel ist es hier, eine integrierte
Safety-Security-Zertifizierung vorzubereiten, die auch Systeme
erfasst, welche sich zur Laufzeit autonom verändern.
Standardisierungsorganisationen (Industrieunternehmen als
Anwender von I4.0, aber auch als Mitglieder in Standardisierungsgremien)
können hier nur mittelfristig etwas umsetzen,
da die Erarbeitung von Standards zeitaufwändiger ist.
Details: Kapitel 7.4.3.1 des Abschlussberichtes.
Feststellung 33 : Es gibt keine allgemein akzeptierte Struktur
von IT-Sicherheitsstandards, die für I4.0 unmittelbar einsetzbar
wäre. Standardisierungsorganisationen sollten hier
mittelfristig etwas umsetzen. Es ist unbedingt erforderlich
ist diese Standardisierungsaufgabe schnellstmöglich unter
Beachtung der laufenden internationalen Standardisierung
und den Security-Arbeiten im IIC in Angriff zu nehmen.
Details: Kapitel 7.4.3.2 des Abschlussberichtes.
35) INTEGRATION TECHNISCHER STANDARDS MIT
ISMS-STANDARDS
Vorschlag: Aufruf an die Standardisierungsgremien zur Erarbeitung
von Richtlinien zur Umsetzung der Bewertungsstandards
und Richtlinien auf die technischen Standards
der Internet-Welt (W3C, IETF, OASIS) und der Serie von
OPC Unified Architecture (OPC UA) Standards (konzeptionell
und technisch). Dabei sollen die Spezifika von I4.0, insbesondere
der nicht-funktionalen Anforderungen, in Form
von Profilen/Ausprägungen der technischen Standards der
32 Vgl. auch Kapitel 6.1.4 des Abschlussberichtes.
33 Vgl. auch Kapitel 6.4 des Abschlussberichtes.