{"id":25241,"date":"2022-05-03T10:03:00","date_gmt":"2022-05-03T10:03:00","guid":{"rendered":"https:\/\/cybercompare.com\/?p=25241"},"modified":"2024-11-22T14:05:50","modified_gmt":"2024-11-22T14:05:50","slug":"sicherheitskonzept-fur-ein-globales-fabriknetzwerk","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/sicherheitskonzept-fur-ein-globales-fabriknetzwerk\/","title":{"rendered":"Sicherheitskonzept f\u00fcr ein globales Fabriknetzwerk: Praktische \u00dcberlegungen zur Implementierung"},"content":{"rendered":"\n

Autoren:<\/strong> Michael Voeth, Clare Patterson und Jannis Stemmann; ver\u00f6ffentlicht in Cyber Security: A Peer-Reviewed Journal<\/em>, Band 6, Ausgabe 1.<\/p>\n\n\n\n

Biografie der Autoren<\/h4>\n\n\n\n

Michael Voeth<\/strong> begann vor 20 Jahren bei Bosch in der Abteilung f\u00fcr Sondermaschinen und Montagesysteme, wo er f\u00fcr die Standardisierung von Software, Kommunikation und Datenaustausch verantwortlich war, um die Effizienz und Produktivit\u00e4t zu steigern. Anschlie\u00dfend war er als Produktmanager in der Verpackungsmaschinenorganisation t\u00e4tig. Seit mehr als zehn Jahren ist er weltweit f\u00fcr die IT-Sicherheit der Infrastruktur und Maschinenkonnektivit\u00e4t im Fertigungsbereich von Bosch verantwortlich.<\/p>\n\n\n\n

Clare Patterson<\/strong> ist Cyber-Sicherheitsforscherin und arbeitete zuvor bei Shell in der Cyber-Sicherheitsstrategie und -transformation sowie als CIO von Shell Energy. Sie hat einen MSc in Cyber-Sicherheit von der University of London und studiert f\u00fcr einen PhD an der University of Kent.<\/p>\n\n\n\n

Jannis Stemmann<\/strong> arbeitete zuvor bei McKinsey & Co. als Berater und war als Vizepr\u00e4sident f\u00fcr Fertigung verantwortlich f\u00fcr zwei Bosch-Werke. Er war auch Chief of Staff f\u00fcr den Vorstand von Bosch. Er hat einen PhD in Ingenieurwissenschaften von der Technischen Universit\u00e4t Hamburg, Deutschland.<\/p>\n\n\n\n

Abstract<\/strong><\/h4>\n\n\n\n

Neben den IT-Sicherheitsrisiken, mit denen fast alle Unternehmen konfrontiert sind, m\u00fcssen Hersteller zus\u00e4tzliche Herausforderungen bew\u00e4ltigen, die sich aus dem Betrieb ihrer eigenen Fabriken ergeben. Typische Schwierigkeiten entstehen beispielsweise durch Altsysteme, propriet\u00e4re Kommunikationsprotokolle und Echtzeitanforderungen in hochautomatisierten Produktionsumgebungen. Gleichzeitig m\u00fcssen Budgetbeschr\u00e4nkungen ber\u00fccksichtigt werden, da Hersteller oft starker Konkurrenz ausgesetzt sind (Werke sind in der Regel bei niedriger Auslastung unprofitabel, daher hat jeder Wettbewerber einen starken Anreiz, die Preise bis auf die Grenzkosten der Produktion zu senken). Dieses Papier erkl\u00e4rt das kombinierte Sicherheitskonzept f\u00fcr IT und Betriebstechnologie (OT), das von einem Unternehmen mit globaler Fertigungspr\u00e4senz in verschiedenen Branchen verwendet wird. Die aus der Pr\u00fcfung einiger Sicherheitswerkzeuge gewonnenen Erkenntnisse sind ebenfalls enthalten. Um Know-how zu skalieren und die Sicherheit f\u00fcr Unternehmen in \u00e4hnlichen Situationen erschwinglicher zu machen, wird das Konzept eines kuratierten Marktplatzes eingef\u00fchrt und dessen Umsetzung beschrieben.<\/p>\n\n\n\n

Einleitung: Ein globaler und vielf\u00e4ltiger Fertigungsfussabdruck<\/strong><\/h3>\n\n\n\n

Die Bosch-Gruppe ist ein globales Unternehmen, das 1886 gegr\u00fcndet wurde und fast 78 Milliarden Euro Umsatz sowie etwa 400.000 Mitarbeiter hat. Derzeit gibt es vier Hauptgesch\u00e4ftsbereiche:<\/p>\n\n\n\n

    \n
  • Mobilit\u00e4tsl\u00f6sungen (insbesondere f\u00fcr Automobilkomponenten);<\/li>\n\n\n\n
  • Industrietechnologie (elektrische und hydraulische Antriebe und Steuerungen sowie Sondermaschinen wie Montagelinien und Pr\u00fcfst\u00e4nde f\u00fcr Bosch-Werke und Forschungs- und Entwicklungseinrichtungen);<\/li>\n\n\n\n
  • Energie- und Geb\u00e4udetechnologie (Sicherheits- und Kommunikationsl\u00f6sungen, Heiz- und Wasserversorgung);<\/li>\n\n\n\n
  • Konsumg\u00fcter (Elektrowerkzeuge und Haushaltsger\u00e4te).<\/li>\n<\/ul>\n\n\n\n

    Aufgrund des vielf\u00e4ltigen Produkt- und Kundenportfolios \u00e4hneln die zugrunde liegenden Gesch\u00e4ftseinheiten bis zu einem gewissen Grad mittelst\u00e4ndischen Unternehmen mit einem erheblichen Ma\u00df an unternehmerischer Unabh\u00e4ngigkeit. Bosch ist mehrheitlich im Besitz der Robert Bosch Stiftung, einer Art gemeinn\u00fctziger Einrichtung. Im Einklang mit dem Geist seines Gr\u00fcnders strebt das Management stets an, ein Gleichgewicht zwischen wirtschaftlichen, sozialen und \u00f6kologischen Interessen zu finden. Ein langfristiger Fokus steht im Mittelpunkt der Unternehmenswerte. Beispielsweise sind alle Bosch-Standorte seit 2020 bereits CO2-neutral.<\/p>\n\n\n\n

    Das globale Werknetz umfasst fast 250 Fabriken in nahezu allen L\u00e4ndern, wobei ein typisches Werk 500\u20132.000 lokale Mitarbeiter hat. Der Bestand an Fertigungsanlagen umfasst etwa 125.000 Maschinen mit 750.000 IT-Ger\u00e4ten von mehr als 3.000 Maschinenanbietern, wobei j\u00e4hrlich etwa 10.000 Maschinen hinzugef\u00fcgt oder ersetzt werden. Die Fertigungsprozesse und Automatisierungsgrade variieren erheblich zwischen Produktkategorien und L\u00e4ndern. Insgesamt wird die gesch\u00e4tzte Anzahl der verwalteten virtuellen lokalen Netzwerke (VLANs) auf 4.000 beziffert. Etwa 30.000 Techniker, einschlie\u00dflich externer und interner Wartungsmannschaften, warten die Produktionsanlagen und ben\u00f6tigen daher regelm\u00e4\u00dfig Zugang zu z.B. Mensch-Maschine-Schnittstellen (HMIs), Industrie-PCs oder programmierbaren Logiksteuerungen (PLCs). Generell betreibt Bosch keine kritische Infrastruktur. Gleichzeitig sehen sich die meisten Gesch\u00e4ftseinheiten erheblichem Wettbewerb ausgesetzt und arbeiten mit knappen Budgets. Beide Aspekte sind f\u00fcr die IT-\/Betriebstechnologie (OT)-Sicherheit relevant und teilen sich mit den meisten mittelst\u00e4ndischen Unternehmen.<\/p>\n\n\n\n

    Werke enthalten viele Funktionen, die lokale Kompetenzen erfordern<\/strong><\/h4>\n\n\n\n

    W\u00e4hrend die Fertigung im Mittelpunkt jedes Werks steht, sind viele weitere Funktionen f\u00fcr den Betrieb erforderlich. Zu den wichtigen weiteren Betriebsbereichen geh\u00f6ren Prozessengineering, Produktengineering, Logistik, Qualit\u00e4t, Facility Management (FM) sowie Spezialteams wie das Gesundheits- und Sicherheitsmanagement (HSE). All diese Bereiche kommunizieren auf der Werksebene dezentral miteinander, nicht zentral koordiniert. Dies ist auch ein wesentlicher Unterschied zu reinen Unternehmens-IT-Setups, die tendenziell sehr zentralisiert sind. Jedes Werk muss mit einer spezifischen Kombination aus nationalen Richtlinien, Produkten, Kunden- und Lieferantenverbindungen, Fertigungsprozessen und verf\u00fcgbaren Teamkapazit\u00e4ten arbeiten. All diese Faktoren beeinflussen die IT-Risikoanalysen. Als einfaches Beispiel m\u00fcssen Werke definieren, ob sie lokale Serverr\u00e4ume ben\u00f6tigen, um die sie sich k\u00fcmmern m\u00fcssen. Es gibt jedoch auch viele kompliziertere Entscheidungen und Ma\u00dfnahmen im Zusammenhang mit der IT\/OT-Sicherheit, die vor Ort effizienter getroffen werden k\u00f6nnen, bis hin zur Incident-Response in einem Notfall, m\u00f6glicherweise mit einer 24\/7-Verf\u00fcgbarkeit bei kurzer Vorank\u00fcndigung. Die Verantwortung f\u00fcr die Sicherheit der lokalen IT und OT liegt immer bei der Werksleitung, die als Gesch\u00e4ftsinhaber betrachtet wird. Die Werksleiter werden von lokalen IT-Koordinatoren unterst\u00fctzt, die sicherstellen, dass die zentrale Richtlinien und den Austausch bew\u00e4hrter Praktiken zwischen den Standorten eingehalten werden.<\/p>\n\n\n\n

    Werksicherheit basiert auf einem kontinuierlichen Verbesserungskreislauf<\/strong><\/h4>\n\n\n\n

    Systematisches Management f\u00fcr Bosch bedeutet einen kontinuierlichen Verbesserungsprozess (gem\u00e4\u00df der bekannten Plan-Do-Check-Act (PDCA)-Logik). In diesem Sinne ist Sicherheit wie Sicherheit, Effizienz oder Qualit\u00e4t: Sie kann nie abgeschlossen oder erreicht werden \u2013 der Zielzustand entwickelt sich st\u00e4ndig weiter. Ausgangspunkt des Verbesserungszyklus ist die Definition von Rollen und Verantwortlichkeiten. Heute gibt es leicht etwa 1.600 Seiten relevanter Normen und Standards, die gefiltert werden m\u00fcssen, um herauszufinden, was relevant ist und wie die Richtlinien umzusetzen sind. Beispiele hierf\u00fcr sind COBIT f\u00fcr Managementverantwortlichkeiten, die Normfamilie ISO 27001\u201327035 f\u00fcr Sicherheitsmanagement, TOGAF als Rahmenwerk f\u00fcr Datenarchitekturen, Anwendungen, Infrastrukturen sowie interne Richtlinien wie das Bosch Produktionssystem. Nat\u00fcrlich m\u00fcssen auch l\u00e4nderspezifische Vorschriften ber\u00fccksichtigt werden. Auch die Klarheit \u00fcber Verantwortlichkeiten und Zust\u00e4ndigkeiten bei Anbietern und IT-Dienstleistern sowie zwischen der zentralen IT und den lokalen Werks-Teams muss ber\u00fccksichtigt werden.<\/p>\n\n\n\n

    Im n\u00e4chsten Schritt werden Risikomanagementrichtlinien wie ISO 31000 oder NIST RMF in praktische Compliance- und Audit-Checklisten \u00fcbertragen. Auf diese Weise werden implizite Erwartungen explizit. Oft wird in diesem Schritt deutlich, dass Richtlinien unterschiedlich interpretiert werden k\u00f6nnen. Bewertungen der IT jedes Standorts werden geplant und durchgef\u00fchrt. Eine Kalibrierung zwischen den Werken ist hilfreich, um unklare F\u00e4lle zu entscheiden. Als Ergebnis von Selbstbewertungen und Audits werden L\u00fccken zwischen dem aktuellen und dem Zielzustand des Risikomanagements aufgezeigt. Aktionspl\u00e4ne zur Minderung von IT\/OT-Risiken werden dann festgelegt. Diese Pl\u00e4ne m\u00fcssen Ressourcenbeschr\u00e4nkungen (h\u00e4ufig sowohl auf Budget- als auch auf Personalseite) ber\u00fccksichtigen und daher ordnungsgem\u00e4\u00df priorisiert werden.<\/p>\n\n\n\n

    Beispiele f\u00fcr IT-Sicherheitskontrollen finden sich in der ISO 27k-Serie; f\u00fcr spezifische ICS-Kontrollen ist die ISO\/IEC 62443 ein Standardreferenz. Eine typische Risikominderungsma\u00dfnahme in Werken ist die Netzwerksegmentierung. W\u00e4hrend dies allgemeines Wissen ist, erfordert die genaue Art und Weise, (a) IT\/OT-Ressourcen in angemessene Gruppen zu clustern und (b) den tats\u00e4chlich erreichten Grad der Trennung zu definieren und zu bewerten, detaillierte Expertise. Die Umsetzung der vereinbarten Aktionspl\u00e4ne dauert in der Realit\u00e4t oft l\u00e4nger als erwartet, und Rollouts nach ersten Pilotprojekten decken weniger als die erwartete Infrastruktur ab, aufgrund von Ausnahmen und technischen Schwierigkeiten. Der letzte Schritt in diesem Modellzyklus ist die Verankerung neuer Prozesse in der Organisation. Hauptbestandteile sind Dokumentation, Workflow-Automatisierung, \u00dcberwachung, Berichterstattung und Kompetenzmanagement, z.B. durch Schulung von Mitarbeitern und externen Partnern. Im Verlauf eines solchen Zyklus wurden Gesetze und Standards aktualisiert, neue Produkte entwickelt, neue Werke gebaut, neue Angriffsvektoren entdeckt und neue Lektionen gelernt. So beginnt der Zyklus von neuem.<\/p>\n\n\n\n

    Zonenkonzept<\/strong><\/h4>\n\n\n\n

    Die Architektur, die in den meisten Bosch-Standorten verwendet wird, \u00e4hnelt grunds\u00e4tzlich den Standardreferenzarchitekturen von z.B. NIST oder der IEC. Eine hochrangige \u00dcbersicht (siehe Abbildung 1) einer typischen Zonentrennung w\u00fcrde sowohl vertikale als auch horizontale Netzwerksegmentierung mit definierten Leitungen zeigen. Unternehmenszonen, die hellblau dargestellt sind, werden von der zentralen IT-Funktion verwaltet. Verm\u00f6genswerte in diesen Zonen werden gem\u00e4\u00df den neuesten Praktiken gepatcht und geh\u00e4rtet. Als Faustregel gilt, dass es in diesen Zonen keine Altsysteme gibt. Die gleichen Regelwerke sind auch f\u00fcr lokale B\u00fcro-Zonen relevant, die in dunklerem Blau dargestellt sind. Demilitarisierte Zonen (DMZ) sind gelb dargestellt. Es gibt eine gemeinsame Verantwortung von zentraler IT und zentraler Fertigungs-IT f\u00fcr Leitungen zwischen DMZ und B\u00fcro-Zonen. Die Infrastruktur in der DMZ ist ebenfalls geh\u00e4rtet und gepatcht. Die zentrale DMZ enth\u00e4lt globale Dienste f\u00fcr alle Werke, z.B. Konnektivit\u00e4t, Remote-Zugriff, Asset-Management-Datenbanken und Softwareverteilung. Ein Asset-Inventar, das alle Maschinen-OT-Verm\u00f6genswerte umfasst (z.B. bis zu zehn Verm\u00f6genswerte pro Maschine, mit mehreren Industrie-PCs), ist entscheidend f\u00fcr das systematische Management. Lokale DMZ hosten Server f\u00fcr z.B. SCADA, MES oder lokale Datenbanken. Teilweise mit der DMZ verbunden, werden Maschinen und Maschinencluster in Sicherheitszonen betrieben. Diese sind in VLANs unterteilt, wobei gro\u00dfe Werke bis zu 100 verschiedene OT-VLANs haben. Als allgemeine Richtlinie sind direkte Internetverbindungen aus inneren Zonen nicht gestattet. Zum Beispiel werden in der DMZ oder in lokalen Werkzonen keine E-Mail-Server betrieben. Neue Herausforderungen in dieser Hinsicht sind Internet-of-Things (IoT)-Ger\u00e4te wie Videokameras, die die DMZ umgehen, indem sie direkt mit einem IoT-Gateway verbunden werden und Zugang aus dem Internet oder von untrusted Ger\u00e4ten (z.B. Servicetechnikern, die Webcams zur \u00dcberwachung eines Prozesses verwenden) bieten. Die \u00c4nderungsrate in OT-Umgebungen macht auch das Management von Firewall-Regeln unhandlich. Daher werden neue Konzepte (\u201eZero Trust\u201c) in Betracht gezogen.<\/p>\n\n\n\n

    \"\"<\/figure>\n\n\n\n

    SHELL-Modell: Verteidigung in der Tiefe<\/strong><\/h4>\n\n\n\n

    Das zuvor diskutierte Zonen-Konzept kann als Zentrum eines Sicherheits-Schalenmodells (auch als Verteidigung in der Tiefe bezeichnet\u00b9) betrachtet werden. Organisatorische und technische Sicherheitskontrollen werden eingesetzt, um Werke gegen verschiedene Arten von Cyberangriffen und Missbrauch von IT\/OT-Verm\u00f6genswerten zu verteidigen \u2013 die h\u00e4ufigsten sind Denial-of-Service (DoS), Mass Malware und gezielte Ransomware-Angriffe.<\/p>\n\n\n\n