IT-Sicherheit für Industrie 4.0

9 HANDLUNGSVORSCHLÄGE
37
Internet-Welt berücksichtigt werden genauso wie die entstehenden
I4.0-Referenzarchitekturen, abgeleitet aus dem
RAMI 4.0 und den existierenden Referenzmodellen für ICS.
Feststellung: Standards im Bereich „Bewertung“ und
„Richtlinien“ sind losgelöst von den technischen Standards.
Standardisierungsgremien (wie z. B. DIN und DKE) und
Branchenverbände (wie z. B. BITKOM) sollten hier mittelfristig
etwas umsetzen und diese Lücke schließen. Hindernis
ist hier lediglich die zeitaufwendige Standardisierung.
Details: Kapitel 7.4.3.3 des Abschlussberichtes.
36) ENGINEERING VON SICHEREN IT-SYSTEMEN
Vorschlag: Erarbeitung einer Richtlinie für eine IACS-bezogenen
Analyse- und Design-Methode unter besonderer
Berücksichtigung der IT-Sicherheitsmanagement-anforderungen
nach ISO/IEC 27001 in Verbindung mit ISO/IEC
27002, VDI/VDE 2182, BDSG und BSI-Grundschutz sowie
der Fähigkeiten der zu der jeweiligen Wertschöpfungskette
passenden technischen Referenzarchitektur und deren
IT-Sicherheitsstandards.
9.4 Resümee
Die o. g. Handlungsvorschläge helfen den Anwendern
von I4.0 und der Politik dabei, für konkrete Szenarien zu
erkennen, an welchen kritischen Stellen Handlungsbedarf
besteht. Zudem unterstützen die Handlungsvorschläge bei
der Identifizierung und Etablierung von Maßnahmen, um
vorhandenen Risiken und Bedrohungen sowie rechtlichen
und organisatorischen Hemmnissen zu begegnen. Eine
Vielzahl von Handlungsvorschlägen muss kurzfristig 35 ,
d. h. im Zeitraum von wenigen Jahren, angegangen werden.
Hier sind sowohl die Wirtschafts-, Technologie- und Förderpolitik,
Standardisierungsorganisationen als auch die
Unternehmen selbst, ungeachtet ihrer Betriebsgröße, sowie
ihre jeweiligen Branchenverbände gefragt, welche in vielen
Bereichen eng bzw. noch enger zusammenarbeiten müssen
oder in vielen Fällen auch voneinander abhängig sind. Es
besteht insbesondere seitens der Politik erheblicher regulatorischer
Handlungsbedarf und die Auseinandersetzung
der verschiedenen Interessenslagen muss vorangetrieben
werden.
Feststellung 34 : IT-Sicherheitsstandards sollten einfließen in
das Engineering von IT-Systemen („security and privacy by
design“). Standardisierungsgremien wie z. B. DIN, DKE oder
internationale Pendants sowie Verbände wie BITKOM, VDI/
VDE, VDMA und ZVEI unter differentieller Berücksichtigung
von Anforderungen verschiedener Branchen und Unternehmensgrößen
sind hier gefragt. Wegen der Fülle von Anforderungen
erscheint dieses Ziel nur langfristig erreichbar.
Details: Kapitel 7.4.3.4 des Abschlussberichtes.
34 Vgl. auch Kapitel 6.4 des Abschlussberichtes.
35 Die vorgeschlagenen Umsetzungszeithorizonte der Handlungsvorschläge unterscheiden sich nach kurzfristig (ein bis zwei Jahre),
mittelfristig (drei bis fünf Jahre) und langfristig (sechs bis zehn Jahre).