Unabhängige Kompetenz-Plattform
für Integrierte Sicherheit in der Schweiz.

12.05.2015
von: Martin Kuppinger, Stephan Augsten

Informationssicherheit: Zwei Seiten der Sicherheit in der Industrie 4.0

Operational Technology vs. Information Technology/OT vs. IT.

Der Begriff "Operational Technology", abgekürzt OT, wird für die Informationstechnik in Produktionsumgebungen verwendet, also beispielsweise Steuerungssysteme von Industrieanlagen und so genannte SCADA-Systeme (Supervisory Control and Data Acquisition). Das Kürzel IT wird dagegen für die Business-Seite der Informationstechnik verwendet. OT steht damit für die physische Wertschöpfungskette, IT für die Geschäftsprozesse.
Lange Jahre hat OT eine weitgehend abgeschlossene Welt dargestellt. In manchen Bereichen ist das auch heute noch so, teilweise – wie bei Kernkraftwerken – sogar aufgrund rechtlicher Vorgaben. In vielen Bereichen ändert sich das aber. Wenn auf dem World Economic Forum in Davos über das "hyper-connected enterprise" diskutiert wird, in Deutschland Begriffe wie das CeBIT-Leitmotiv "D:conomy" oder Industrie 4.0 kursieren, dann geht es um eine stärkere Vernetzung von IT und OT.
Diese Vernetzung schafft einerseits eine Menge neuer Möglichkeiten für Anbieter im Bereich Informationssicherheit. Starke Authentifizierung, Single Sign-On oder Privilege Management für Steuerungssysteme sind ein attraktives Feld für die Anbieter, ebenso wie die Access Governance, also die Steuerung und Prüfung von Zugriffsberechtigungen. Gleichzeitig muss man sich aber auch darüber klar werden, dass OT nicht gleich IT ist.

Es gibt unterschiedliche Anforderungen und oft auch eine unterschiedliche Verwendung von Begrifflichkeiten. Das beginnt beim Begriff der Sicherheit selbst: Im Englischen wird zwischen "safety" in der OT und "security" in der IT unterschieden.
Safety steht dabei für die Sicherheit von Produktionsumgebungen, also den Schutz vor physischen Schäden von Mensch und Maschine.
Security wird dagegen für die IT-Sicherheit verwendet, also missbräuchlichen Zugang zu solchen Systemen oder den Missbrauch von Zugriffsberechtigungen.

Traditionell sind die primären Ziele von OT-Sicherheit im Sinne von "safety": Verfügbarkeit und Verlässlichkeit. Verfügbarkeit ist wichtig, weil der Stillstand eines Bandes in der Produktion schnell viel Geld kosten kann oder das Wiederanfahren eines Hochofens lange dauert. Verlässlichkeit ist ebenfalls von zentraler Bedeutung, um Güter in gleichbleibender Qualität produzieren zu können.

In der IT geht es dagegen um Vertraulichkeit, Integrität, Verfügbarkeit im Sinne eines Datenzugriffs und eben Sicherheit im Sinne von "security". Wie gross der Unterschied bisher ist, zeigt sich bei einem Blick auf den Umgang mit Patches.
Im Bereich der IT werden Patches schnell zur Verfügung gestellt und oft automatisch eingespielt. Hier geht es auch darum, sich gegen neue Angriffsszenarien schnell zu schützen. Wenn ein Betriebssystem oder eine Anwendung aus der Wartung des Herstellers genommen wird, ist es für die Kunden meist auch der späteste Zeitpunkt, an dem auf neue Releases migriert wird.
Ganz anders in der OT: Hier sind Steuerungssysteme oft mehr als 20 Jahre im Einsatz und alte Hardware als Ersatz wird zu hohen Preisen gehandelt. Hier steht der zuverlässige Betrieb im Vordergrund und ein Patch wird zunächst einmal als mögliches Risiko betrachtet. Deshalb ist bisher, auch durch die historische Trennung solcher Umgebungen in der Netzwerk-Infrastruktur, der Umgang mit Patches ein völlig anderer als in der IT.

Mit der zunehmenden Vernetzung von OT und IT verändert sich diese Situation aber grundlegend. OT-Systeme werden damit angreifbarer. Damit entsteht auch ein Konflikt zwischen Sicherheit (safety) und Sicherheit (security): Überspitzt formuliert könnte man den Konflikt als "Tod durch Patches vs. Tod durch Angreifer" bezeichnen.
Sobald Systeme besser erreichbar werden, insbesondere auch die Steuerungs- und nicht nur Reportingfunktionen, sind sie auch angreifbarer. Sie sind neuen Angriffsmethoden ausgesetzt, was neue Konzepte für die Sicherheit erfordert. Gateways und Firewalls sind ein Teil der Lösung, softwaredefinierte Infrastrukturen mit einer Virtualisierung der OT-Netzwerke ebenfalls.

Eine einfache Lösung gibt es nicht, aber das Thema muss eine hohe Priorität bei der Diskussion über vernetzte Produktion haben – es geht um jede Form von Sicherheit. Der erste Schritt ist, dass sich die Sicherheitsexperten aus den OT- und ITUmgebungen verständigen und beginnen, an gemeinsamen Sicherheitskonzepten zu arbeiten.
Beide Seiten können dabei voneinander lernen, denn die Sicherheitsanforderungen sowohl in der OT als auch der IT haben einen guten Grund. Wichtig ist aber, dass man jetzt beginnt, diese Herausforderung zu lösen und nicht wartet, bis etwas schief gegangen ist. Vernetzte Produktion ist nur dann ein Erfolgsmodell, wenn sie auch sicher ist.
Quelle: Security-insider.de; Martin Kuppinger, Stephan Augsten


Security-Finder Schweiz: Newsletter