Joseph da Silva, Chief Information Security Officer bei Electrocomponents plc teilt seine Sicht, wie Sie sicherstellen können, dass Ihre IIoT-Implementierung so sicher wie möglich ist.

Cyber-Sicherheit ist seit Jahren ein Thema, das IT-Managern schlaflose Nächte bereitet. Mit dem Aufkommen des „Industriellen Internet der Dinge” (IIoT) hat sich das potenzielle Risiko jedoch erhöht, da immer mehr Geräte an Unternehmensnetzwerke angeschlossen werden. Während das IIoT viele spannende Möglichkeiten für Unternehmen bietet, von der vorausschauenden und proaktiven Wartung bis hin zu potenziellen neuen Einkommensflüssen, ist es wichtig, jede IIoT-Implementierung als Teil eines Systems zu sehen und nicht nur im Kontext der gesamten IIoT-Lösung.

IIoT-Implementierungen sind Teil eines umfassenderen Systems innerhalb Ihres Unternehmens, ob beabsichtigt oder nicht, und es ist wichtig zu überlegen, wie eine IIoT-Implementierung die gesamte Angriffsfläche der gesamten Organisationerweitern könnte. Eine unsichere IIoT-Lösung könnte einen Einstiegspunkt in Ihre operative Technologieumgebung oder Ihre breitere IT-Umgebung bieten, oder sie könnte einen Einstiegspunkt in Ihre Logistikprozesse, Ihre Lagerverwaltungsprozesse oder Ihre Finanzprozesse bieten.

Was können Sie also tun, um sich zu schützen? Ist es an der Zeit, sich einen Hut aus Alufolie aufzusetzen und in das Zeitalter der Dampflokomotive zurückzukehren? Offensichtlich nicht. Sicherheit ist ein risikobasiertes Spiel und der erste Schritt zur Risikominimierung besteht darin, sie zu verstehen. Sicherheit sollte nicht als „das Problem von jemand anderem” betrachtet werden, sie sollte sicherlich nicht nur Ihrem IT-Team überlassen werden und am wichtigsten ist, sie sollte nicht externen Anbietern überlassen werden.

Denken Sie daran: Jedes Gerät ist ein potenzielles neues Einfallstor für einen Hacker. Sie müssen kein Experte sein, aber Siemüssen die richtigen Fragenstellen und die richtigen Massnahmen ergreifen. Einige davon werden im Folgenden beschrieben:

1. Standardwerte ändern. Die meisten IIoT-Geräte und auch die meiste IT-Software werden mit Standardpasswörtern ausgeliefert. Ändern SIe diese in sichere Passwörter (benutzen Sie definitiv nicht für alles dasselbe Passwort ...). Vermeiden Sie jegliches Equipment mit fest kodierten Passwörtern. Wenn es festkodiert ist, kennt es bereits jeder Hacker da draussen.

2. Getrennte Netzwerke. Stellen Sie keine IIoT-Geräte in Ihr Unternehmensnetzwerk oder in dasselbe Netzwerk, das Sie für Ihre IT-Ausrüstung verwenden. Das führt nur zu Problemen.Ein einzelnes Gerät sollte auch nicht in der Lage sein, auf mehrere Netzwerke zuzugreifen, sonst könnten sie als „Brücke” benutzt werden.

3. Deaktivieren. Sie unnötige Funktionen. Sehen Sie den Monitor an der Wand Ihres Besprechungzimmers? Ich wette, es ist ein intelligenter Monitor und niemand hat die Bluetooth-Funktionalität ausgeschaltet, oder das Mikrofon, oder den Webserver, den er betreibt. Unnötige Funktionen können als „Einfallstor” genutzt werden, sowohl zu dem Gerät als auch zu dem grösseren Netzwerk, auf dem es sich befindet. Schalten Sie Dinge programmgesteuert aus oder deaktivieren Sie diese physisch. Eine Zange oderflüssiges Epoxidharz sind einfache Mittel, um zum Beispiel eine USB-Buchse dauerhaft zu deaktivieren.

4. Auf dem neuesten Stand bleiben.Softwareschwachstellen treten sehr häufig auf, aber was noch häufiger vorkommt, ist das bekannte Korrekturen für diese Schwachstellen nicht zeitnahangewendet werden. Stellen Sie sicher, dass Firmware und Software regelmässig aktualisiert werden und dass Sie über einen Prozess verfügen, um dies zu tun, insbesondere wenn dies eine Planung in Ausfallzeiten beinhaltet. Sie werden nicht in der Lage sein, eine 24x7-Montagelinie herunterzufahren, aber Sie sollten in der Lage sein, Ausfallzeiten bei Zustandsüberwachungssensoren zu tolerieren.

5. Testen, testen, testen. Ziehen Sie einen spezialisierten Penetrationstester zu Rate, der sich mit Industrieausrüstung und Betriebstechnik auskennt- nicht alle können das. Dies ist ein Spezialgebiet, das spezielle Kenntnisse über SPS und SCADA-Ausrüstung erfordert und Sie möchten, dass ein freundliches Gesicht sie prüft, bevor es ein unfreundliches tut. Am wichtigsten ist es, ihren Empfehlungen zu folgen -vielleicht können Sie nicht alles in Ordnung bringen, aber Sie können risikobasierte Entscheidungen darüber treffen, was Sie in Ordnung bringen, was Sie auf einemanderen Weg mindern und was Sie akzeptieren können.

6. Seien Sie sich im Klaren darüber, wer was tut.Selbst wenn Sie eine angeblich „schlüsselfertige” Lösung kaufen, ist es nie ganz so einfach, insbesondere wenn der Dienstleister selbst auf eine Reihe von Dritten angewiesen ist. Sie sollten wissen, wohin Ihre Daten gehen, wer Zugang zu ihnen hat und wie sie geschützt werden. „Sie befindensich im Rechenzentrum des BigCloudProviders, sie sind sicher”, reicht nicht als Antwort aus.

7. Abschliessend und am wichtigsten: Haben Sie einen Plan bereit für den Fall, dass etwas schief geht. Führen Sie einige Szenarien durch und testen Sie diese regelmässig durch eine Simulation oder einen Probelauf. Im Falle eines Sicherheitsvorfalls muss sehr klar sein, wer was wann tut, und wenn dies klar dokumentiert und leicht zugänglich ist, einschliesslich Kommunikationserklärungen in Form von Vorlagen, spart das viel Zeit und Adrenalin.

Joseph ist eine versierte Führungskraft im Bereich der Informationssicherheit mit umfangreicher IT- und Geschäftserfahrung in verschiedenen Sektoren. Er treibt die Informationssicherheitsagenda von Electrocomponents voran, um sowohl dem Unternehmen als auch seinen Kunden dabei zu helfen, Risiken zu verstehen und anzugehen und gleichzeitig Geschäftswachstum zu ermöglichen. Er hat CCISO-, CISM- und BCS-Qualifikationen sowie einen Abschluss mit Auszeichnung in Biochemie und forscht derzeit für seine Doktorarbeit.