Hightech-Manufacturing: ICS-Security zwischen Risikomanagement und Wertschöpfung

Risikobewertung führt zum zuverlässigen Produktionsverbund

Für einen Security-Anbieter liegt die Herausforderung bei der Absicherung von Produktionsumgebungen deshalb vor allem darin, maßgeschneiderte Sicherheitskonzepte zu finden, die sich technisch und organisatorisch nahtlos in die vorhandenen Fertigungsabläufe einbetten lassen. Voraussetzung hierfür sind nicht nur theoretische Grundlagenkenntnisse und ein gut ausgebildetes Spezialisten-Team, sondern auch ein hohes Maß an Praxiserfahrung. Als eines der führenden Hochtechnologieunternehmen Europas blickt Airbus auf eine lange Tradition in der Fertigung von Hightech-Produkten mit hohem Schutzbedarf zurück. Viele Erfahrungswerte und analytische Methoden des Geschäftsbereichs CyberSecurity stammen dabei direkt aus dem unternehmenseigenen operativen ICS-Umfeld und haben sich in der Praxis schon vielfach bewährt.

Industrial Security ist, wie auch der digitale Wandel insgesamt, kein definierter Endzustand, sondern ein kontinuierlicher Prozess. Ein grundlegender erster Schritt auf dem Weg zu einer validen ICS-Sicherheitsstrategie muss deshalb eine detaillierte Risikoanalyse sein. Diese Vorgehensweise empfiehlt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Im ICS-Security-Kompendium des BSI heißt es hierzu: „Die Durchführung einer wiederkehrenden (regelmäßigen beziehungsweise anlassbezogenen) Risikoanalyse wird als verpflichtend angesehen“. Im Rahmen seiner umfassenden Security-Services entwickelt Airbus CyberSecurity ganzheitliche Sicherheitsstrategien, die exakt auf solch einer Analyse basieren. Zielsetzung ist dabei, in direkter Zusammenarbeit mit IT- und Produktions-Teams des Betreibers die fünf Top-Risiken zu identifizieren und zu dokumentieren sowie praktikable Gegenmaßnahmen zu empfehlen.

Die Zielsetzungen umfassen im Einzelnen:

• Den Aufbau von sicheren Remote-Zugängen für Wartung und Analyse
• Die Absicherung des Produktionsverbundes sowie die Isolierung oder Überwachung von mit Schwachstellen behafteten Altsystemen durch passive Security Sensoren
• Die Sicherung von Endpoints, Datenbanken und Servern (MES, HMI-Stationen, Notebooks und Mobilgeräten)
• Die sichere Nutzung von portablen Medien wie USB-Sticks oder CDs
• Wissenstransfer und die Bereitstellung einer Methodik für eine kontinuierliche Risikoanalyse

Die Absicherung von Produktionsanlagen ist gerade für Hochtechnologieunternehmen eine komplexe Herausforderung mit zuweilen hohem Kostenaufwand. Vor dem Hintergrund von Industrie 4.0 und IoT (Internet of Things) ist eine sicherheitstechnische Bestandsaufnahme jedoch unumgänglich, um den digitalen Wandel auf eine solide Basis zu stellen. Ein Security-Assessment bietet dazu einen sinnvollen Einstiegspunkt und ist der Grundstein für alle weiteren Handlungsempfehlungen sowie den Aufbau einer langfristigen Sicherheitsstrategie. Die Kosten der Analyse bleiben dabei in einem überschaubaren Rahmen und amortisieren sich schnell durch die Minimierung von Ausfallrisiken sowie einen insgesamt zuverlässigeren Produktionsverbund.