Fachartikel

IT absichern trotz zunehmender Vernetzung

Vernetzung im Zuge von Industrie 4.0 betrifft nicht nur die Fabrik- oder Prozessautomatisierung, sondern auch Bereiche wie Smart Farming, Smart City und Smart Energy. Wer sich jedoch mit der Vernetzung bislang alleinstehender Komponenten beschäftigt, muss sich heute zwangsläufig mit IT-Sicherheit auseinandersetzen. Der Fachartikel liefert dazu umfangreiche Hintergrundinformationen und erklärt, warum eine ganzheitliche Betrachtung von IT-Sicherheit derzeit wichtiger denn je ist.
Gerade in Zeiten von Industrie 4.0 kommt der Sicherheit in IT-Netzwerken eine besondere Bedeutung zu.
Je stärker eine Branche in das öffentliche Leben hineinwirkt, desto strenger sind auch die rechtlichen Vorgaben. Der Bereich Smart Energy beispielsweise ist ein elementarer Teil kritischer Infrastrukturen (KRITIS). Darunter versteht man Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.

Um den rechtlichen Sicherheitsanforderungen gerecht zu werden, müssen Unternehmen und ihre Abläufe zertifiziert sein, zum Beispiel nach der internationalen Norm ISO/IEC 27001, aber auch die eingesetzten Produkte selbst. Produktanforderungen werden in zahlreichen technischen Richtlinien definiert. Ein Beispiel ist die technische Richtlinie des BSI für kryptografische Verfahren. Weiterhin können Verordnungen wie die am 25. Mai 2018 in Kraft getretene Datenschutz-Grundverordnung (DSGVO) im weitesten Sinne die IT-Sicherheit in Unternehmen betreffen. Diese drei Beispiele geben nur einen groben Einblick in das große Feld rechtlicher Rahmenbedingungen im Zusammenhang mit IT-Sicherheit.

IT-Sicherheit abstrakt betrachtet
IT-Verantwortliche müssen die Sicherheitsinfrastruktur permanent prüfen und an die aktuellen Anforderungen anpassen. Abhängig vom Industriebereich, in dem eine IT-Lösung zum Einsatz kommen soll, gilt es also die passenden Vorgaben zu kennen, zu beachten und die realisierten Lösungen permanent auf dem aktuellen Sicherheitsstand zu halten. Deshalb lässt sich dem Thema IT-Sicherheit niemals nur mit einem Produkt begegnen, sondern mit einer Mischung aus Produkt, strikt vorgegebenen Abläufen, Mitarbeiterschulungen, Dokumentation und vielem mehr.
Bild 1: Die CIA-Triade fasst drei übergeordnete Schutzziele der IT-Sicherheit zusammen:
Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Gleichzeitig ist Sicherheit aus Anwendersicht ein vielschichtiger Begriff und je nach Anwendungsfall ist ein bestimmter Sicherheitsaspekt mehr oder weniger zu berücksichtigen beziehungsweise verschiedene Sicherheitsaspekte stehen gar im Widerspruch zueinander. Dann gilt es abzuwägen, welche Vorrang haben. Bei der Bewertung von Schutzzielen einer individuellen Anwendung hilft die CIA-Triade (Bild 1). Es betrachtet die Bereiche Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability). Was steckt konkret dahinter?

Eckpunkt 1: Vertraulichkeit
Vertraulichkeit bedeutet die Zugriffsbeschränkungen auf sensible Daten. Es muss sichergestellt sein, dass nur die Personen Zugang zu Daten oder IT-Systemen haben, die sie für ihre Arbeit benötigen. Es gilt also sensible Daten wie etwa Kreditkartendaten, Unternehmensgeheimnisse oder auch persönliche Daten zu evaluieren und das Schadensmaß, das durch unberechtigten Zugriff darauf entstehen kann, abzuschätzen. Danach sind entsprechende Schutzziele zu formulieren. Eine geeignete Berechtigungsstruktur ist ebenso wichtig wie die Sensibilisierung der für bestimmte Zugriffe freigeschalteten Mitarbeiter. Technisch spielen Hilfsmittel wie VPN-Verbindungen, der Einsatz aktueller Verschlüsselungstechnologien oder Access-Control-Lists (ACL) eine wichtige Rolle.

Wie wichtig Vertraulichkeit in der Anwendungspraxis ist, wird beispielsweise beim Einsatz von Smart Metern deutlich. Würden Zählerdaten durch Unberechtigte ausgelesen, könnten diese Rückschlüsse auf das Verbrauchsverhalten vieler Stromkunden ziehen. Das BSI schreibt daher eine komplette Ende-zu-Ende Verschlüsselung für sämtliche Daten vor, die mit den Smart Meter Gateways (SMGW) ausgetauscht werden. Außerdem wird eine strikte Zugriffskontrolle durch den Smart Meter Gateway Administrator (SMGA) vorgeschrieben, der sicherstellen muss, dass entsprechende Nutzdaten nur an vorher definierte Marktteilnehmer und niemanden sonst gesendet und von diesen ausgelesen werden.

Der Kommunikationsdienstleister Welotec aus Laer im Münsterland ist mit seinen TK800 LTE-Routern (Bild 2) Teil der Smart-Meter-Rollout-Kette und hat dazu seine Router entsprechend angepasst. Dank Dual-APN (Access Point Name) übertragen sie Nutz- und Managementdaten auf unterschiedlichen Kanälen (entsprechen der jeweiligen Zielgruppen). Beidseitige Authentifizierung und die gängigen Protokolle für Datenkommunikation wie HTTPS, SSH, und SNMPv3 sichern das Management des Routers zuverlässig ab. BSI-konforme Ende-zu-Ende-Verschlüsselung schützt alle übertragenen Inhalte gegen Einblicke oder Manipulation von außen. Das Thema Manipulation führt uns zum zweiten Punkt der CIA-Triade.

Seite 1: IT-Sicherheit abstrakt betrachtet


Seite 1 von 2 Nächste Seite >>
17.10.2018/ln/Jos Zenner, Business Development Manager bei Welotec

Nachrichten

Hacker-Angriff auf Marriott möglicherweise politisch motiviert [14.12.2018]

Berichten zufolge steckt hinter einer massiven Cyberattacke in einer Marriott-Hotelkette ein chinesischer Geheimdienst, der die persönlichen Informationen von bis zu 500 Millionen Kunden erbeutete. Dies meldet das IT-Sicherheitsunternehmen Vectra. [mehr]

Sicherheitslücken in verbreiteten IoT-Protokollen [14.12.2018]

Trend Micro warnt Unternehmen vor möglichen Sicherheitslücken in ihrer Betriebstechnologie. Forscher des japanischen IT-Sicherheitsanbieters entdeckten massive Schwachstellen und gefährdete Anwendungen von zwei weit verbreiteten Protokollen für die Machine-to-Machine-Kommunikation. [mehr]

Tipps & Tools

Audioprobleme bei Remotesession beheben [2.12.2018]

Wer Linux-Endgeräte im Zusammenspiel mit der USB-Geräteumleitung von Audiogeräten in einer XenApp/Virtual-Apps-Remotesession nutzt, steht unter Umständen vor folgendem Problem: Die USB-Geräteumleitung von Audiogeräten über einen Linux-Receiver zum Server-VDA auf Basis von Windows Server 2016 funktioniert nicht korrekt. Das Gerät erscheint zwar im Gerätemanager, wird jedoch nicht unter Wiedergabegeräte als Audio-Ein-/Ausgabegerät angezeigt. Doch es gibt eine einfach Lösung. [mehr]

Neues Training: Amazon Web Services für KMUs [26.11.2018]

Nach anfänglichen, hauptsächlich auf Sicherheitsfragen basierenden Bedenken gegen die Nutzung von Public-Cloud-Diensten, steigt der Einsatz von IaaS- oder SaaS-Diensten nun auch bei in Deutschland beheimateten Unternehmen rasant an. Doch gerade für KMU mit einer kleinen IT-Mannschaft gilt es dabei, die Komplexität der von Amazon Web Services angebotenen Dienste ebenso zu beherrschen wie die Integration in die lokale IT. Unser  Training im Frühjahr 2019 greift Ihnen unter die Arme. [mehr]

Buchbesprechung

Praxisbuch IT-Dokumentation

von Manuela und Georg Reiss

Anzeigen