OT-Security Operational Technology: Das 1x1 für mehr Resilienz

Anbieter zum Thema

NTT DATA

Schneider Electric GmbH

In einer zunehmend digitalisierten Welt sind Unternehmen immer häufiger Angriffen auf ihre IT- und OT-Infrastrukturen ausgesetzt. Ein solcher Cyberangriff kann verheerende Folgen haben, besonders für produzierende Unternehmen, deren Betriebsabläufe stark von der internen Operational Technology abhängen. Mit fünf leicht umsetzbaren Maßnahmen können Unternehmen eine resiliente OT-Infrastruktur aufbauen.

Nichts geht mehr, alles steht still: Mit einem Angriff auf die IT- und OT-Infrastruktur müssen Unternehmen heute täglich rechnen. Eine schnelle, koordinierte und effiziente Reaktion hilft, potenzielle Schäden zu begrenzen und verhindert, dass diese für das Unternehmen existenzbedrohend werden. Für produzierende Unternehmen, die über Operational Technology (OT) verfügen, erfordert die Vorbereitung auch ein geübtes Zusammenspiel zwischen dem oft IT-lastigen Security Operations Center (SOC) und den Verantwortlichen für die Produktionsanlagen. Die Devise lautet daher: vorbereiten, vorbereiten, vorbereiten!

In der OT-Sicherheit verhält sich vieles anders als in der IT-Sicherheit. Insbesondere spielt die Verfügbarkeit eine wesentlich wichtigere Rolle. Während man bei IT-Sicherheitsvorfällen betroffene Systeme einfach vom IT-Netzwerk nimmt oder abschaltet, ist dies mit der OT-Infrastruktur oftmals keine Option oder mit erheblichen Schäden und Folgewirkungen verbunden.

Fünf-Punkte-Plan für mehr Resilienz

Die gute Nachricht ist: Es gibt fünf relativ leicht umsetzbare Maßnahmen, die Unternehmen für den Ernstfall eines Angriffs umsetzen sollten.

1. Einsetzung eines Operational Technology

Es ist sicherzustellen, dass OT-Notfallteams jederzeit verfügbar und kompetent besetzt sind. Idealerweise wird jahrelange Expertise in den Gewerken mit der IT-Sicherheitsexpertise im SOC verknüpft. Dazu braucht es oft zusätzlich „Übersetzer“, die die Sprachen der IT und die der Asset Owner vor Ort verstehen und so sicherstellen, dass die Kommunikation funktioniert. Diese Personen finden sich im Notfall nicht von allein, deswegen müssen im Vorfeld eines OT-Vorfalls Verantwortliche benannt werden und bekannt sein.-Notfallteams

2. Festlegung von Meldeketten

Das OT-Notfallteam versucht die Probleme während eines Angriffs auf einer technischen Ebene in den Griff zu bekommen und eine Eskalation möglichst zu verhindern. Diese gelingt aber nicht immer. Schwerwiegende Entscheidungen müssen in der Regel andere treffen. Dazu braucht es durchdachte Meldeketten mit Eskalationsstufen sowie fest definierten Übergabepunkten, die festlegen, wer unter welchen Umständen informiert wird. Entscheidungen sollten nicht durch einzelne Personen, sondern vielmehr in vordefinierten Teams getroffen werden. Wichtig ist es auch, Meldeketten und Eskalationsstufen bis zum Ende durchzudenken. Auch die Frage, wer entscheiden kann, dass ein Vorfall erledigt ist, sollte man im Blick behalten.

3. Vollständige Dokumentation der Operational Technology

Um in der Situation eines Angriffs effizient reagieren zu können, wird eine Dokumentation benötigt, die leicht zugänglich und auch offline verfügbar ist. Dazu gehören:

• Technische Pläne (Netzwerke, Grundrisse, Produktionszellen)

• Kommunikationsalternativen (bei Ausfall von E-Mail und VoIP)

• Meldeketten

• Abschaltpläne: Was kann unter welchen Umständen wie und in welcher Reihenfolge abgetrennt beziehungsweise abgeschaltet werden?

• Pläne zur Einbeziehung von Dritten wie zum Beispiel Strafverfolgung, externe Dienstleister, Notfallunterstützung von Expertinnen und Experten aus Unternehmen in der Umgebung

• Fragenkataloge zur „Triage“, um schnell feststellen zu können, wie schwerwiegend ein Vorfall ist

• Entscheidungsvorlagen mit Feldern für alle Informationen, die zur Entscheidungsfindung ab einer bestimmten Eskalationsstufe benötigt werden.

Schließlich hilft es bei der Aufarbeitung eines Vorfalls auch, schon während der Notfallmaßnahmen wichtige Vorgänge und Beobachtungen zu dokumentieren und Daten zu sichern. Auch hier können vorbereitete Templates helfen. Diese Dokumentation unterstützt später die Aufarbeitung einschließlich der Ursachenforschung (Root cause analysis) und Forensik und hilft dabei, Prozesse für die Zukunft zu verbessern. Da Firmen im Notfall schon an der Belastungsgrenze arbeiten, kann man hierfür auch externe Partner hinzuziehen, beispielweise Teams aus Universitäten und Forschungseinrichtungen. Idealerweise hat man schon im Vorfeld entsprechende Vertrauensbeziehungen aufgebaut und Vertraulichkeitsvereinbarungen getroffen.

4. Überprüfung der Backups

Mit Backups geht in der IT leider noch viel schief. Unternehmen testen zu unregelmäßig, ob ihre Backups funktionieren und mit welchen Wiederherstellungszeiten sie rechnen müssen. In der OT ist dies oftmals noch komplexer. Es geht oft schon los mit der Frage, wo die Backups liegen. Manchmal heißt es dann: Irgendwo hier auf dem Shopfloor sollte sich ein USB-Schlüssel mit dem Backup finden lassen. Getestete Prozesse für die regelmäßige Erstellung von Backups und Wiederherstellung sowie überprüfte Wiederherstellungszeiten inklusive Hardware und OT findet man selten vor. Solche Zustände könnten bald als fahrlässig bewertet werden. Im Hinblick auf die Umsetzung der EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2-Direktive) in Deutschland können Vorstände betroffener Unternehmen in vielen Sektoren für Versäumnisse haftbar gemacht werden.

5. Durchführung von Übungen

Damit im Stress der Abwehr eines Angriffs auch das meiste funktioniert, muss man so viel üben wie möglich. Dazu gehört es, Angriffsszenarien und ihre Folgen in Planspielen zu simulieren. Dies offenbart Wissenslücken und bringt nützliche „daran habe wir noch nicht gedacht“-Momente mit sich. Um besser zu verstehen, wie die Kolleginnen und Kollegen im Notfallteam denken und arbeiten, kann sich auch „Job Shadowing“ anbieten: Dabei begleitet man die Kollegen für eine gewisse Zeit an einem typischen Arbeitstag. Zusätzlich lernt man sich dabei auch persönlich besser kennen und kann Vertrauen aufbauen.

Meldeketten, Notfallkommunikation und die Informationsbeschaffung sollte man unter simulierten Angriffsbedingungen testen und üben. Nur so ist zu erkennen, ob alle Meldungen auch richtig ausgelöst werden und bei den Zielpersonen ankommen. Für die OT lohnt es sich, Testzellen einzurichten, an denen man Backup-Prozesse und Wiederherstellung testen kann, ohne in die Produktion einzugreifen. Wenn möglich, sollten Experten auch an gehackten (oder entsprechend präparierten) Maschinen üben, wie man diese wieder unter Kontrolle bringen kann.

Operational Technology-Sicherheit erfordert Management-Unterstützung

Eines ist klar: All dies organisiert sich nicht von selbst. Anfangs entsteht ein größerer Aufwand, danach sollten regelmäßig Übungen stattfinden und Aktualisierungen der Notfallpläne und der Dokumentation erfolgen. Das geht nur mit der Management-Unterstützung. Im Hinblick auf die oben erwähnte Umsetzung der NIS2-Direktive sollte sich diese Unterstützung wesentlich leichter gewinnen lassen. Niemand will sich schließlich vor die Mitarbeiter stellen müssen und ihnen sagen: „Ihr Job ist weg, weil ich meinen nicht gemacht habe.“

Der Autor Dr. Christian Schunck ist wissenschaftlicher Mitarbeiter im Team Identitätsmanagement am Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO.