Sicheres IT-Management: Ist Ihr Bestand fit für die Zukunft?

Neue Technologien erobern die Industrien dieser Welt, Industrie 4.0 ist schon lange im Shopfloor eingezogen und auch künstliche Intelligenz ist immer weiter auf dem Vormarsch. Das Fundament dafür stellt jedoch der sichere IT-Betrieb und das Management der Bestandsanlagen dar. Wir haben mit Ondeso COO Peter Lukesch über das sichere IT-Management von Neu- und Altanlagen bei Anlagenbetreibern sowie bei Maschinen- und Anlagenbauern gesprochen:

Mit zunehmender IT-gestützter Automatisierung der Industrieanlagen verändern auch deren Betriebsbedingungen. Wo sehen Sie die größten Herausforderungen in diesem Handlungsfeld?

Peter Lukesch: "Um überhaupt Maßnahmen für den künftigen Betrieb ableiten zu können ist es essenziell eine Übersicht aller IT-Komponenten zu haben. Nicht selten erleben wir, dass Kunden zum Beispiel nur ein kleiner Teil Ihrer PCs in bestehenden Produktionsanlagen überhaupt bekannt ist, da sich der Formfaktor deutlich zu einem Büro-PC unterscheidet und auch der Einbauort innerhalb der Maschinen häufig nicht bekannt ist. Ein zentrales Bestands- und Betriebsmanagement mit vollständigen und aktuellen Informationen ist der Dreh- und Angelpunkt für ein sinnvolles und zielorientiertes Risikomanagement."

Wie könnte so ein Bestands- und Betriebsmanagement aussehen und welche Vorkehrungen müssen dafür getroffen werden?

Lukesch: "Nachdem sich unsere Kunden einen Überblick über Ihre vorhandenen Geräte verschafft haben, müssen Informationen über deren aktuellen Betriebszustand gesammelt und ausgewertet werden. Dies ist kein einmaliger Vorgang, sondern muss automatisiert und regelmäßig laufen, sodass der Wissensstand immer aktuell ist. Auf dieser Grundlage können dann mögliche Gefahren bewertet und Maßnahmen abgeleitet werden.

Um die Sicherheit so hoch wie möglich zu halten ist es essenziell, dass man die Maßnahmen immer proaktiv plant und ausführen kann und möglichst nie in die reaktive Rolle gedrängt wird. Sollte dies doch einmal der Fall sein, ist der letzte Ausweg häufig nur ein aktuelles Backup, mit dem ein stabiler Zustand wiederhergestellt werden kann."

Wie wird aktuell das IT-Management und das Updaten bereits verkaufter Anlagen gehandhabt?

Lukesch: "Dies ist grundsätzlich ein schwieriges Thema in dem insgesamt drei Parteien eine wichtige Rolle spielen. Maschinen- und Anlagenbauer sehen häufig den Gefahrenübergang mit der Auslieferung an den Kunden. Sobald eine Maschine in den Besitz des Betreibers übergeht, ist diese sein Eigentum, für welches dieser verantwortlich ist und damit tun und lassen kann was er will.

Fast zumindest, denn wenn gewisse Änderungen am System durch den Betreiber durchgeführt werden droht ihm häufig der Verlust des Supports durch den Hersteller, es wird teilweise sogar von 'Garantieverlust' gesprochen.

Als Drittes kommt der Gesetzgeber hinzu und wird die vielfach geforderten Vorgaben durchsetzen, wonach der Hersteller dazu verpflichtet werden soll, nur sichere Geräte und Maschinen auszuliefern. Häufig ergibt sich daraus, dass tatsächlich nur in aktuellen Notlagen und bei konkreten Bedrohungen eine pragmatische Lösung zwischen Hersteller und Betreiber gefunden wird."

Was gilt es zukünftig zu beachten und welche Anforderungen ergeben sich daraus?

Lukesch: "Die Vergangenheit hat gezeigt, dass die Nutzungsdauer von Produktionsanlagen, anders als im Office-Umfeld, durchaus 20 Jahre oder mehr betragen kann. Die dadurch vorhandene Heterogenität der IT-Landschaft wird sich somit auch in Zukunft weiter verstärken.

Der Einsatz von immer mehr Software bedarf bei Betreibern eine zunehmende Verkürzung von Update-Zyklen. Ferner werden durch IT-Integration und Cloud-Anbindung die IT-Security-Anforderungen exponentiell steigen. Für Maschinen- und Anlagenbauer ergeben sich daraus auch völlig neue Servicemodelle.

Kunden werden mit einem Blick auf die lange Betriebsdauer bevorzugt auf standardisierte Schnittstellen und Prozesse setzen und die Sicherheit Ihrer Geräte einfordern. Denn bei bekannt werden einer Schwachstelle, wie zum Beispiel Bluekeep und DejaBlue, muss die Priorität auf einer schnellen Reaktionszeit liegen. Somit gilt für beide die gleiche Frage: Ist Ihre Gegenwart bereit für die Zukunft?"

Übernimmt die Instandhaltung künftig diese Aufgaben und welche Kenntnisse sind die Voraussetzung dafür?

Lukesch: "Im Idealfall übernimmt jeder das, was er kann. Die Aufgabe eines Technikers ist es nicht, tiefstes IT-Security Know-how zu haben. Er muss neue Anlagen mit aufbauen und in Betrieb nehmen, bestehende Anlagen warten, upgraden oder reparieren. Natürlich zählen dazu künftig auch die integrierten Softwarebestandteile und OT-Komponenten.

Ähnlich wie er eine Baugruppe austauscht und danach überprüft sollte er zum Beispiel auch vordefinierte Installations- oder Updatepakete dabei haben die er ausführt und danach eine Übersicht über die Funktionsfähigkeit beziehungsweise die korrekte Abarbeitung erhält. Der dahinterliegende Prozess muss in den Bereichen definiert und erstellt werden, die auch die Software erstellen und das Wissen über die damit verbundenen Probleme haben.

Nicht zuletzt müssen die durchgeführten Änderungen dokumentiert werden und auch wieder zurückfließen, sodass zum Beispiel der Support bei Anfragen oder der Vertrieb bei Angeboten auf den aktuellen Stand der Informationen zugreifen kann."

Welche Auswirkungen hat die zunehmende Industrialisierung auf den IT-Security Bereich in Industrieunternehmen?

Lukesch: "Früher mussten sich CIOs primär auf die Absicherung Ihrer Rechenzentren und Endgeräte im Office kümmern. Mit Modellen wie SaaS, BYOD, und so weiter rücken noch deutlich mehr Geräte in den Fokus, welche Übertragungswege in die Firma und wieder heraus bereitstellen. Immer mehr Firmen setzen eigene IT-Security Abteilungen mit verantwortlichen CISOs (Chief Information Security Officer - Anm.d.Red.) auf, da die Absicherung und Vorbereitung von Gegenmaßnahmen kein Teilzeitjob mehr sind.

Nichtsdestotrotz hatte man bis vor wenigen Jahren die Absicherung der IT-Geräte in der Produktion ausgeblendet, da diese einfach funktionieren müssen. Allerdings machen Schadsoftware und Angreifer vor Netzwerkgrenzen keinen Halt und 'schwappen' so – über die sogenannten Spillover-Effekte - auch in die Produktionsnetze über.

Erst seit großen Ausfällen, verursacht zum Beispiel durch WannaCry in 2017, besinnt man sich wieder darauf, dass die unternehmerische Wertschöpfung in einem Produkt gipfelt. Fehlerhafte Produkte oder Verzögerungen machen sich unmittelbar in den eigenen Einnahmen bemerkbar beziehungsweise können sich bei großen Unternehmen sogar bis auf gehandelte Rohstoffpreise auswirken."

Ondeso