IT-Security

IT-Security ist nicht nur in den vom IT-Sicherheitsgesetz betroffenen Branchen Wasserwirtschaft und Energiesektor ein Thema. Auch in der fertigenden Industrie oder anderen Bereichen nimmt das Thema eine immer wichtigere Stellung ein. Trends wie Industrie 4.0 oder das Internet der Dinge (IoT) setzen Möglichkeiten zum Datenaustausch zwischen allen Teilnehmern in Form von offenen, genormten Schnittstellen voraus. "Offen", das klingt nach "unsicher". Tatsächlich aber bietet z.B. webnativ entwickelte Technologie wie die von FlowChief Datensicherheit auf Höhe modernster Standards.

 

FlowChief ist bereit für sichere Industrie 4.0

Software, die dieser Dynamik nicht Stand hält, wird in 10 Jahren so nützlich und verbreitet sein wie Röhrenfernseher heute. Zugriff über verschiedenste Devices wird immer relevanter – und während er in modernen, offenen System direkt und sicher stattfindet, geschieht er in klassischen Systemen über aufwändige Client-Installationen oder Remote-Einwahl-Software. Diese Varianten besitzen sicherheitstechnische Lücken und sind kaum zu kontrollieren.

FlowChief-Software wurde von Beginn an mit Blick auf das Web entwickelt, ist durch den Einsatz von HTML-5-Webtechnologie perfekt auf den Zugriff von Browsern und Mobile Devices zugeschnitten. Als andere Hersteller erst durch die gestiegene mediale Präsenz neuer Angriffe auf ICS-Systeme (Industrial Control System) Maßnahmen einleiteten, waren wir bereits mitten in der ständigen Weiterentwicklung unserer Sicherheits-Workflows. So übernimmt die Security-Tests etwa ein Technikteam, das unabhängig von den Entwicklern arbeitet.

 

IT-Sicherheitsgesetz - KRITIS

Am 25. Juli 2015 ist das IT-Sicherheitsgesetz in Kraft getreten. Betreiber kritischer Anlagen aus den Bereichen Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen müssen danach künftig einen Mindeststandard an IT-Sicherheit einhalten und erhebliche IT-Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Die beim BSI eingehenden Meldungen werden bewertet und dann schnellstmöglich allen Betreibern mit einer entsprechenden Aufbereitung zur Verfügung gestellt. (Quelle: www.bmi.bund.de)

Darauffolgend wurde am 3.5.2016 die Rechtsverordnung zur Bestimmung Kritischer Infrastrukturen (KRITIS) nach dem BSI-Gesetz (BSI-KritisV) gültig. In der Verordnung wird festgelegt welche Anlagen unter das ITSiG fallen oder nicht. Konkret betroffen sind zunächst rund 700 Anlagen in Deutschland. 

 

Weiterführende Informationen finden Sie hier:

1. www.bsi.de – Bundesamt für Sicherheit in der Informationstechnik
2. www.kritis.bund.de – Internetplattform zum Schutz kritischer Infrastrukturen
3. www.allianz-fuer-cybersicherheit.de – Zusammenschluss deutscher Firmen zum Informationsaustausch zum Thema – wir sind Mitglied
4. Top Ten Bedrohungen für Industrial Control System (ICS)
5. BSI Security Kompendium für Hersteller, Systemintegratoren und Anwender – Grundlagenwerk zu IT Security Maßnahmen rund um ICS
6. IT Sicherheitsgesetz

 

 

FlowChief mit integrierter Sicherheit

2 Faktor Authentifizierung

Regelwerke wie IT-Grundschutz oder BDEW Whitepaper empfehlen eine Anmeldeprozedur anhand einer 2-Faktor-Authentifizierung. Dabei sind voneinander unabhängige Faktoren, die sich auf dem Stand der Technik befinden, zu verwenden. Folgende Verfahren stehen derzeit zur Verfügung und sichern Ihre System vor unbefugtem Login: Passworteingabe, Authenticator-App und SMS Übermittlung vergleichbar dem mobile-TAN Verfahren beim Online-Banking.

Steuern Sie Ihren Prozess über den Browser – Keine Installation, keine Remote Control Software

Der Zugriff auf Visualisierung, Archivdaten oder Alarmmanagement erfolgt via Webbrowser. Sie benötigen keine schwierig abzusichernde Ferneinwahl-Software.

Ende zu Ende Verschlüsselung

Konsequente, auf X.509 zertifikatsbasierte TLS Verschlüsselung der Datenübertragung - sowohl beim Zugriff auf die Daten zwischen Client und Server als auch in der Kommunikation zwischen allen Teilnehmern unter Verwendung von OPC UA.

Fernwirktechnik: Authentifizierung, Verschlüsselung und Punkt-zu-Punkt Verbindung

FlowChief Fernwirktechnik basiert auf einer direkten, sicheren und zuverlässigen Datenübertragung zwischen Fernwirktechnik und Zentrale. Zu vermeiden sind Vermittlungsserver oder Root Server zur Datenrangierung. Durch Zentralisierung des gesamten Datenverkehrs stellen diese ein schwierig zu kalkulierendes Risiko dar. Immer mögliche Dienstausfälle durch Defekt oder auch durch vorsätzliche Attacken, beispielsweise via (D)DoS, führen unweigerlich zu einem globalen Ausfall aller Systeme. Weitere Schwachpunkte sind die ungeklärte Datensicherheit und die totale Abhängigkeit vom Dienstanbieter.

 

Ganzheitlicher Sicherheitsstrategie auf Basis "tiefgestaffelter Verteidigung" oder "Defense in Depth"

Sieht man das Prozessleitsystem als Asset – also als schützenswerte Einheit – einer größeren Infrastruktur endet die Absicherung desselben natürlich nicht auf Anwendungsebene. Auch Betriebssystem-, Netzwerkebene oder die Sicherheit der Anlage an sich, müssen in einem ganzheitlichen Konzept anhand einer Risikoanalyse bewertet werden. Auf Basis dieser, können Maßnahmen definiert werden, die jede Ebene abgestimmt auf das Bedrohungsszenario schützen. Ganzheitlicher Schutz Ihrer Anlage kann nur gemeinsam, durch effektive Zusammenarbeit von Hersteller, Anwendern, Planern und Systemintegrator gewährleistet werden. Wir stehen unseren Kunden und Partner dazu jederzeit zur Verfügung – Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!.