Die Normenreihe IEC 62443 beschreibt sowohl technische als auch handlungsorientierte Aspekte der industriellen Cybersecurity und ist in verschiedene Bereiche unterteilt. Sie besteht aus einem allgemeinen Teil, sowie Leitlinien, Vorgehensweisen, Systemanforderungen und Komponentenanforderungen. Für Produkte basiert eine Zertifizierung gemäß der Normenreihe auf dem Abschnitt IEC 62443–4–2 und für Systeme auf dem Abschnitt IEC 61443–3–3. Der Abschnitt IEC 62443–4–1 befasst sich mit den Prozessanforderungen des sicheren Entwicklungslebenszyklus. Ein Nachweis des sicheren Entwicklungslebenszyklus kann je nach Zertifizierer Voraussetzung sein.
Security Level für das System
Bei der Produkt- bzw. Komponentenzertifizierung erfolgt eine Aussage über die Security-Befähigung (SL-C). Welcher Security Level (SL) im Umfeld der Anlage schließlich tatsächlich erreicht wird, muss separat überprüft und nachgewiesen werden. In der IEC 62443–3–3 sind die Anforderungen zur IT-Sicherheit von Systemen beschrieben. Sie richtet sich bezüglich der industriellen Automatisierungstechnik an die Betreiber, Systemintegratoren, Produkt- und Systemhersteller sowie Dienstleister und ist die Basis zur Bewertung der Befähigung, ob die vom Betreiber geforderte Sicherheitsanforderungen SL-T (Target Security Level) erreicht werden können. Die Grundlage bilden sieben Anforderungen:
- Identifizierung und Authentifizierung
- Nutzungskontrolle
- Systemintegrität
- Vertraulichkeit
- Datenfluss
- Reaktion auf Ereignisse
- Verfügbarkeit von Ressourcen
Diese basieren auf Security-Anforderungen (SRs – System Requirements) und erweiterte Anforderungen (REs – Requirements Enhancement). Auf Komponentenebene kommen Anforderungen gemäß der IEC 62443–4–2 an die Software, Geräte, Host und Netzwerkkomponenten hinzu. Das Ergebnis ist dann der erreichbare Security Level (SL-A – Achieved SL). Die Zertifizierung gemäß der IEC 62443–3–3 kann sich auf das komplette Automatisierungs- und Leitsystem beziehen aber auch auf ein Teilsystem. Ist ein System oder Teilsystem gemäß dem Standard zertifiziert, so ist der Security-Befähigungsnachweis für das System/Teilsystem erbracht. Die Erläuterungen und Angaben in den zugehörigen Berichten und der Dokumentation der Hersteller sind dabei einzuhalten.
IEC-zertifiziertes Prozessleitsystem
Das Prozessleitsystem Simatic PCS 7 ist gemäß IEC 62443–4–1 und IEC 62443–3–3 zertifiziert. Dies bedeutet, dass der Befähigungsnachweis der Komponenten erbracht ist, sofern der Aufbau des Systems der Referenzarchitektur folgt. Siemens stellt eine umfassende Dokumentation für das Leitsystem Simatic PCS 7 zur Verfügung. Das Kompendium Teil F beinhaltet die Informationen bezüglich Security. Die Zertifizierung der Komponenten oder des Systems sagen jedoch nichts über den erreichten Security Level (SL) der Anlage aus. Der SL muss anlagenspezifisch überprüft und verifiziert werden. Bei der Anlagenerstellung obliegt dies dem Anlagenbauer. Er muss den Nachweis erbringen, dass der geforderte SL erreicht wird. Der Nachweis kann durch ein Assessment erbracht werden.
Cybersecurity in der Anlagenplanung
In der IEC 62443 werden die Strategien und Prozeduren beschrieben, die für die Erstellung einer sicheren Anlage im Sinne von Security erforderlich sind. Zu Beginn der Planung sollte das Security-Konzept erstellt werden, das elementarer Bestandteil der Anlagenplanung ist. Grundlage ist eine Security-Risikoanalyse, deren Ergebnis die minimierenden Risiken aufzeigt. Basierend auf der Analyse werden die entsprechende SL-T der Anlagenteile und Segmente festgelegt. Auf dieser Basis werden die Maßnahmen bestimmt, die notwendig sind, um den geforderten SL-T zu erreichen. Hierbei kann es sich z. B. um Organisatorisches, Begrenzung der Eingriffs- und Zugriffsmöglichkeiten, Segmentierung der Anlage, Umgang mit Schadsoftware und Updates handeln. Das Konzept und die Maßnahmen sind konsequent umzusetzen und sind die Basis für die Planung und Auswahl der Produkte, Systeme und Netzwerkarchitekturen.
Security von Anfang an mitdenken
Eine nachträgliche Analyse und Umsetzung des Security-Konzeptes können zu sehr hohem Aufwand und Kosten führen. Dabei kann es dann zu Umbauten kommen, die die Netzwerkarchitektur oder auch den Austausch von Komponenten betreffen. Eine Implementierung und konsequente Umsetzung eines Security-Konzeptes von Beginn an ist somit empfehlenswert. Nur so ist es möglich, die geeigneten Komponenten zum Einsatz zu bringen. Entsprechende Zertifizierungen der Komponenten/Systeme kann dem Planer die Auswahl erleichtern. Eine abschließende Überprüfung der Security-Systemanforderungen bleibt bestehen.
Anhand des Konzepts „Defense in Depth“ ist es möglich, Security sicherzustellen. Bei dem Defense in Depth-Konzept handelt es sich um ein Mehrschichtenmodell. Es erschwert es dem Angreifer in das System einzudringen und Schaden anzurichten, da mehrere Hürden zu überwinden sind. Das Defense-in-Depth-Konzept setzt sich mit der Anlage, dem Netzwerk und der Systemintegrität auseinander. Für alle Bereiche sind Maßnahmen zu definieren und regelmäßig zu überprüfen und bei Bedarf anzupassen. Speziell für die chemische Industrie zeigt die Namur in ihrem Arbeitsblatt NA 163 und der dazugehörigen Checkliste eine Vorgehensweise für die Überprüfung auf. Grundlage für ein sicheres Produkt oder System ist eine Entwicklung, die sich an einen sicheren Entwicklungslebenszyklus hält, wie in der IEC 62443–4–1 erläutert und definiert. Generell ist abschließend eine Überprüfung des erreichten SL der Anlage erforderlich, um so die Erfüllung des geforderten SL-T nachzuweisen.
Cybersecurity auf Dauer
Um die Anlage auf Dauer sicherzuhalten, ist die Anlage regelmäßig zu warten, d. h. von den Herstellern bereit gestellte Informationen zu beachten und Patches einzuspielen. Außerdem muss regelmäßig eine neue Risikoanalyse bezogen auf Security durchgeführt werden und je nach Ergebnis die Maßnahmen angepasst werden. Da sich die Angriffsszenarien ständig ändern, ist dies unabdingbar und Bestandteil des Lebenszyklus der Anlage. Nur so bleibt die Anlage im Sinne von Security sicher. Organisationen wie die Namur geben hierfür Leitlinien heraus, die bei der Anwendung der Standardfamilie IEC 62443 unterstützen.
Siemens AG, Nürnberg
Halle 9, Stand D53
Autor: Thomas Bartsch
Business Development,
Siemens
