Damit das IT- und das OT-Team in Industriefirmen mit vereinten Kräften gegen Cyberbedrohungen vorgehen kann, haben zwei Marken von VINCI Energies, Actemium und Axians, gemeinsame Tools entwickelt – darunter auch ein Coboter.
Fabriken und Werkstätten wurden lange Zeit mit von außen unzugänglichen und nicht mit dem Internet verbundenen Prozessleitsystemen gesteuert.
Aber die Digitalisierung in der Industrie brachte vernetzte Sensoren und Objekte mit sich, mobile Anwendungen, Cloudlösungen – die Konvergenz zwischen den in der Produktion eingesetzten, operativen OT-Lösungen und den IT-Systemen wird immer stärker. Weil letztere jedoch potentiell auch von außen zugänglich sind, werden auch Industrieanlagen angreifbarer. Die Zusammenarbeit zwischen OT und IT ist somit unabdingbar, um Fragen hinsichtlich Datenverkehr und -verarbeitung zu lösen, aber auch zunehmend, um Antworten auf Cybersicherheitsprobleme in der Industrie zu finden.
„Alle von uns verbrauchten und im Alltag verwendeten Waren, sämtliche Dienstleistungen wie die Strom- und Wasserversorgung, werden von OT-Systemen gemanagt und gesteuert. Das lässt das Risiko von industriellen Cyberangriffen ermessen. Für die Industrie geht es nicht mehr um das Ob, sondern nur noch um das Wann einer solchen Attacke“, warnt Thomas Leseigneur, Leiter Innovation von Actemium, der VINCI Energies-Marke für Höchstleistungen in der Industrie.
„Die Zusammenführung zwischen Industrie und IT ist unbedingt erforderlich, aber beileibe kein Selbstläufer.“
Niemand bleibt verschont, sogar Großkonzerne werden Opfer von Hackerangriffen, oftmals mit ärgerlichen Auswirkungen: So fiel etwa ein Mailserver bei Saint-Gobain über mehrere Tage aus, bei Renault stand die Produktion sogar wochenlang.
Zwei Kulturen zusammenführen
„Die Zusammenführung zwischen Industrie und IT ist somit unbedingt erforderlich, aber beileibe kein Selbstläufer“, unterstreicht Vincent Bazillio, Leiter Entwicklung bei Axians, der VINCI Energies-Marke für ICT-Lösungen.
Die unterschiedlichen Kulturen in den beiden Bereichen führen zu bisweilen gegensätzlichen Prioritäten: Für IT-Techniker kommt es entscheidend auf Datenschutz und Datensicherheit an, die Verfügbarkeit einer Anlage ist nachrangig; für OT-Profis ist es praktisch umgekehrt.
Auch die Reaktionen auf Bedrohungen sind unterschiedlich: Während die IT erst einmal alle Verbindungen kappt, um in Ruhe zu analysieren und zu korrigieren, geht es der OT darum, die Produktion auch angesichts einer Bedrohung weiterlaufen zu lassen.
Glücklicherweise kennt sich Actemium aufgrund ihres Kerngeschäfts hervorragend mit diesem industriellen Ansatz aus, während Axians in der IT zuhause ist. Aufgrund dieser doppelten Kompetenz arbeiten die beiden Marken von VINCI Energies zusammen und bieten der Industrie Cybersicherheitslösungen, welche die industriespezifischen Anforderungen mit den Best Practices der IT-Abteilungen in Einklang bringen.
Sensibilisierungsinstrumente
Damit die OT- und IT-Manager_innen ihre Anlagen und Produktionsdaten besser schützen können, stellen Actemium und Axians Sensibilisierungsinstrumente zur Verfügung, die insbesondere auf Stress- und Penetrationstests durch „gute“ Hacker (White-Hats) beruhen.
Sie zeigen durch entsprechende Angriffsversuche, welche Schwachstellen für den Angriff auf eine Industrieanlage benutzt und wie die Equipments dieser Anlage abgesichert werden können.
Zwei Demotools sind bei den Präsentationen im Einsatz, an denen IT- wie OT-Fachleute eines Unternehmens teilnehmen: Ein VR-Tool und ein kleiner Coboter namens GrabIT.
Er simuliert eine smarte Fabrik mit einem Bedienterminal, einer SPS und einem Roboter. Das System verdeutlicht, was auf dem IT-Netzwerk vor sich geht. Dazu bekommt der Coboter eine Aufgabe: Durch die Anwahl einer Farbe auf einem Monitor erhält er den Befehl, mit seiner Zange einen gleichfarbigen Gegenstand zu greifen.
Das funktioniert bis zu dem Zeitpunkt, wo der Operator auf seinem Laptop eine Gebrauchsanweisung in Word öffnet. In dieser auf einem USB-Stick gespeicherten Datei ist ein Virus versteckt. Er bringt den Coboter völlig durcheinander. Seine Bewegungen sind nicht mehr vorhersehbar und potentiell gefährlich für die Umstehenden.
Best Practices
So können die Teilnehmenden mit eigenen Augen sehen, dass die von ihnen eingesetzten Computer nicht unbedingt sicher sind. Gleichzeitig wird vermittelt, dass 80 % der Bedrohungen durch die Umsetzung entsprechender Best Practices zum Glück leicht abzustellen sind. So hätte beispielsweise „eine simple Plexiglasscheibe vor dem in die Produktionsumgebung eingebundenen Rechner verhindern können, dass ihn irgendjemand über einen USB-Stick mit einem Virus infiziert“, meint Bazillio.
Diese Demonstration mit GrabIT wird durch eine IT-Landkarte ergänzt, welche die Axians- und Actemium-Mitarbeitenden anfertigen.
Zur Überraschung der Teilnehmenden wird daraus häufig ersichtlich, dass diese oder jene Hardware, irgendein Sensor in der abgehängten Decke oder im Außenbereich bei der Kartierung schlichtweg vergessen wurde und so zu einem Sicherheitsrisiko werden kann.
Die Landkarte enthält für jede Komponente ein Datenblatt einschließlich der potentiellen Sicherheitslücken – wertvolle Informationen für die Servicetechniker_innen.
Wenn die Industrie erst einmal über die Möglichkeiten zum Schutz ihrer IT-Landschaft Bescheid weiß, ergreift sie auch entsprechende Maßnahmen, so der Axians-Cybersicherheitsexperte – etwa der „Schutz von Einzelsegmenten der Produktionsanlage“. „Segmentierung ist in der IT nichts Neues“, so Bazillio. „Dabei werden Equipments, die dasselbe Schutzniveau erfordern, einer „Sicherheitsblase“ zugeordnet. Darin befinden sich dann beispielsweise alle, die für firmenexterne Personen zugänglich sein müssen.“ Dies kann etwa über die Netzwerkswitches oder eine Firewall entsprechend konfiguriert werden.
18/11/2020
