ICS / SCADA Betriebssicherheit

Zum Messen, Steuern und Regeln von Industrieprozessen, beispielsweise zur Automation und zur Überwachung von grossen Systemen und Anlagen, kommen in vielen Industriebereichen sogenannte Industrial Control Systems (ICS; deutsch: industrielle Steuerungssysteme, Automatisierungs-Systeme) zum Einsatz. Diese finden häufig Verwendung in der produzierenden Industrie und in Branchen, die zu den kritischen Infrastruktursystemen (KRITIS) gezählt werden, z. B. Energie, Wasser, Ernährung oder Transport und Verkehr. ICS waren in der Vergangenheit physisch von anderen ICT-Systemen und Netzwerken getrennt und damit vor äusseren Einflüssen geschützt. Daher war die ICT-Security bei der Auswahl und Entwicklung zumeist proprietärer Software und Protokolle von untergeordneter Bedeutung. Mit der zunehmenden Digitalisierung, dem Einzug von ICT-Systemen aus dem Büroumfeld und der zunehmenden Vernetzung der ICS auch über Netzgrenzen hinweg (z. B. in ein Unternehmensnetz) sind diese ICS-Systeme heute ähnlichen Gefährdungen wie derjenigen der Bürokommunikation, d.h. wie Systeme aus der klassischen Informationstechnologie ausgesetzt. Dass diese Gefährdungen real sind, beweisen verschiedene Vorfälle der jüngeren Vergangenheit.

Im Gegensatz zur klassischen ICT haben ICS abweichende Anforderungen an die Schutzziele hinsichtlich Verfügbarkeit, Integrität und Vertraulichkeit. Dies äussert sich beispielsweise in längeren Betriebszeiten und seltenen Wartungsfenstern. Zudem sind insbesondere die Echtzeitanforderungen zu nennen, die für die Steuerung häufig unerlässlich sind. Hinzu kommen Gewährleistungsansprüche. Sich in der Praxis bewährte Schutzmassnahmen aus dem Büroumfeld sind dabei nur bedingt auf ICS übertragbar.

Die Normenreihe IEC 62443 Industrial communication networks – Network and system security setzt auf ein prozessuales Vorgehensmodell zur Herstellung von ICT Sicherheit für die industrielle Automatisierung und Kontrollsysteme (IACS: Industrial automation and control systems). Sie spezifiziert die Inhalte eines Cybersicherheits-Managementsystems (CSMS) und gibt Hinweise für die Vorgehensweise zur Entwicklung eines CSMS. Die Norm richtet sich an Hersteller, Integratoren und Betreiber.

Bei der Vorgehensweise im Rahmen eines Projekts sollte immer darauf geachtet werden, dass als erstes ein definierter Prozess für das Thema Security etabliert wird. Danach sollte ein geeigneter Perimeterschutz erfolgen, sowie mehrschichtige Sicherheitsmassnahmen auf Netzwerkebene. Im Anschluss sollte der Schutz auf den Komponenten selbst verbessert werden. Bei neuen Anlagen sollte dies bereits in der Planung berücksichtigt werden.

Die DIN SPEC 27009 beschreibt einen Umsetzungsleitfaden für ein sektorspezifisches Informationssicherheits-Managementsystem analog zur ISO/IEC 27001 zur Anwendung in der Netzleittechnik in der Energieversorgung. Die Massnahmen aus der ISO/IEC 27002 wurden um sektorspezifische Anforderungen ergänzt. Die Norm richtet sich primär an die Betreiber von Prozesssteuerungssystemen der Energieversorgung sowie an die zuständigen Informationssicherheitsverantwortlichen. Darüber hinaus ist die Norm für Hersteller, Integratoren und Auditoren von Interesse. Im Fokus der Norm sind Systeme und Netze zur Steuerung und Überwachung von Erzeugung, Übertragung und Verteilung von Strom, Gas und Wärme in Kombination mit der Steuerung von unterstützenden Prozessen.