Die Umsetzung wirksamer Cybersicherheitskontrollen in industriellen Automatisierungs- und Steuerungssystemen (IACS) ist entscheidend, um betriebliche Resilienz, Sicherheits-Compliance und Sicherheit zu gewährleisten. Obwohl zahlreiche Frameworks existieren, hebt sich die Normenreihe IEC 62443 als der führende Goldstandard für die IACS-Sicherheit hervor. Was ich an IEC 62443 schätze, ist die starke Fokussierung auf OT-Sicherheit in Bereichen wie Asset-Transparenz, mehrschichtige Absicherung der Kronjuwelen, Gewährleistung der Sicherheit der Lieferkette, klare Definition von Rollen und Verantwortlichkeiten für Asset-Verantwortliche sowie die Darstellung der wesentlichen Bestandteile eines Informationssicherheitsmanagementprogramms.

Wir veröffentlichen seit einiger Zeit eine Wissensreihe zu IEC 62443. Unsere bisherigen Beiträge können Sie unter diesen Links lesen:

·      Entmystifizierung der IEC 62443-Compliance: Ein Leitfaden zur Absicherung cyber-physischer Systeme

·      Absicherung von IIoT mit IEC 62443: Ein technischer Leitfaden für angreifssichere Architekturen

·      Wie Sie die Anforderungen von IEC 62443 4-1 und 4-2 navigieren: Ein Leitfaden für Hersteller von Eisenbahnkomponenten

·      Ein umfassender und praxisorientierter Leitfaden für IEC 62443-basierte OT-Sicherheitsbewertungen

Der heutige Beitrag zu IEC 62443 bietet einen detaillierten, praxisorientierten Leitfaden zur Implementierung von IEC 62443-Kontrollen und zur Gewährleistung einer robusten Sicherheitslage für Ihre kritischen Assets und Infrastrukturen. Das ist in keiner Weise bloße Theorie. Stattdessen konzentrieren wir uns auf praktische Umsetzungsschritte auf Grundlage von Fachexpertise.

Bevor wir fortfahren, vergessen Sie bitte nicht, sich unseren vorherigen Blogbeitrag zu den Herausforderungen bei der NIS2-Implementierung hier anzusehen.

Phase 1: Grundlagen und Risikobewertung (IEC 62443-2-1, 62443-3-2)

Bevor Sie die IEC 62443-Kontrollen implementieren, müssen Sie Ihr System und seine spezifischen Risiken verstehen.

1.1. Systeminventar und Asset-Management (IEC 62443-2-1)

• Umsetzbare Schritte:

  • Führen Sie ein umfassendes Asset-Inventar durch. Dazu gehören Hardware (PLC, SCADA, RTU usw.), Software, Firmware, Netzwerkgeräte und Systemabhängigkeiten.

  • Klassifizieren Sie Assets nach Kritikalität (Auswirkung auf Sicherheit, Umwelt, Produktion).

  • Dokumentieren Sie die wahrgenommenen Risiken für jedes Asset.

  • Pflegen Sie ein dynamisches Asset-Repository und aktualisieren Sie es regelmäßig.

Automatisierte Werkzeuge zur Asset-Erkennung können in großen und komplexen Systemen äußerst wirksam sein. Verwenden Sie eine Kombination aus aktiver und passiver Erkennung für umfassende Ergebnisse.

1.2. Definition von Zonen und Conduits (IEC 62443-3-2)

• Umsetzbare Schritte:

  • Segmentieren Sie Ihr IACS-Netzwerk in logische Sicherheitszonen. Eine Zone bündelt Assets mit ähnlichen Sicherheitsanforderungen und/oder geschäftlicher Kritikalität.

  • Identifizieren Sie die Kommunikationspfade, also Conduits, zwischen diesen Zonen.

  • Wenden Sie granulare Sicherheitsanforderungen auf Grundlage des Risikos und der potenziellen Auswirkungen innerhalb jeder Zone an.

  • Isolieren Sie beispielsweise kritische Steuerungssysteme von weniger kritischen Systemen wie HMI (Human Machine Interface) oder Historian-Servern.

  • Weisen Sie jeder Sicherheitszone einen Zonenverantwortlichen zu.

Sie können sich am Referenzmodell ISA-99 / IEC 62443-1-1 orientieren, um Ihre Zonen zu strukturieren. Ziel ist es, die Möglichkeit lateraler Bewegungen von kompromittierten zu kritischen Systemen zu minimieren (und Bedrohungen einzudämmen).

1.3. Risikobewertung (IEC 62443-3-2)

• Umsetzbare Schritte:

  • Führen Sie für jede Zone und jeden Conduit eine Sicherheitsrisikobewertung durch. Berücksichtigen Sie potenzielle Bedrohungen, Schwachstellen und Auswirkungen (Sicherheit, Umwelt, Betrieb, Reputation, Daten, Finanzen).

  • Bestimmen Sie das angestrebte Security Level (SL) für jede Zone auf Grundlage der Risikobereitschaft und der betrieblichen Kritikalität. IEC 62443 definiert SL-1 (niedrig) bis SL-4 (hoch).

  • Nutzen Sie die Ergebnisse, um die Umsetzung der Kontrollen zu priorisieren (beginnen Sie mit den kritischsten und gehen Sie dann zu den übrigen über).

Phase 2: Auswahl und Implementierung von Kontrollen (IEC 62443-3-3, 62443-2-3)

Wählen und implementieren Sie IEC 62443-Kontrollen, die auf die identifizierten Security Levels abgestimmt sind. Dieser Leitfaden hebt zentrale Bereiche hervor, jedoch empfehlen wir Ihnen, die für Ihre Branche relevanten spezifischen Normen und Profile heranzuziehen.

2.1. Systemintegrität (IEC 62443-3-3)

• Netzwerksegmentierung und Perimeterschutz:

  • Implementieren Sie robuste Firewalls mit granulären Zugriffskontrollregeln zwischen den Zonen. Verwenden Sie Industrie-Firewalls, die OT-Protokolle verstehen und beherrschen.

  • Setzen Sie strikte Kommunikationsrichtlinien über Conduits durch. Blockieren Sie sämtlichen unautorisierten Verkehr.

  • Verwenden Sie Virtual Local Area Networks (VLANs) für die logische Segmentierung innerhalb von Zonen.

• Zugriffskontrolle:

  • Erzwingen Sie starke Authentifizierung und Autorisierung für alle Benutzer und Geräte. Verwenden Sie Multi-Faktor-Authentifizierung (MFA) überall dort, wo es angemessen ist, insbesondere für den Fernzugriff.

  • Führen Sie eine Audit-Prüfung durch, um überflüssige Berechtigungen zu identifizieren.

  • Nutzen Sie Role-Based Access Control (RBAC), um Berechtigungen auf Basis von Rollen zu vergeben. Befolgen Sie durchgängig das Prinzip der minimalen Rechtevergabe.

  • Deaktivieren Sie unnötige Konten und Standardpasswörter.

  • Berechtigungen sollten, wo immer möglich, zeit- oder aufgabenbezogen befristet sein.

• Systemhärtung:

  • Wenden Sie Sicherheits-Patches für Betriebssysteme, Firmware und Anwendungen an. (Hinweis: Vor der Bereitstellung sind gründliche Tests für OT-Systeme entscheidend).

  • Deaktivieren Sie unnötige Dienste, Ports und Funktionen.

  • Implementieren Sie Anti-Malware-Lösungen, die korrekt für industrielle Umgebungen konfiguriert sind (vermeiden Sie aktives Scannen sowie Anbieter, die ausschließlich Lösungen mit aktivem Scannen anbieten), da dies die Echtzeitkommunikation stören könnte.

  • Erzwingen Sie sichere Konfigurations-Benchmarks (wie die CIS Benchmarks des Center for Internet Security (CIS)).

2.2. Produktsicherheit (IEC 62443-4-2)

• Einbindung der Anbieter: Verlangen Sie von Geräteherstellern, dass sie die relevanten IEC 62443-Normen einhalten (z. B. -4-1 für die sichere Produktentwicklung und -4-2 für Produktsicherheitsanforderungen).

• Sichere Lieferkette: Implementieren Sie Prozesse zur Überprüfung der Integrität von Software und Firmware während Beschaffung und Bereitstellung.

• Audit: Führen Sie Audits durch, um die Einhaltung durch die Anbieter sicherzustellen.

2.3. Patchmanagement (IEC 62443-2-3)

• Umsetzbare Schritte:

  • Entwickeln und implementieren Sie ein formelles Patchmanagement-Programm, das auf IACS zugeschnitten ist. Dieses Programm muss eine gründliche Prüfung von Patches in einer Nicht-Produktionsumgebung vor der Bereitstellung umfassen.

  • Koordinieren Sie Patch-Bereitstellungsfenster während geplanter Ausfallzeiten oder nicht kritischer Zeiträume.

  • Erwägen Sie eine risikobasierte Patch-Priorisierung mit Fokus auf kritische Schwachstellen in kritischen Assets.

2.4. Sicherheit des Fernzugriffs

• Umsetzbare Schritte:

  • Kontrollieren und überwachen Sie strikt jeden Fernzugriff auf das IACS-Netzwerk.

  • Verwenden Sie dedizierte sichere Fernzugriffs-Gateways mit MFA. Vermeiden Sie direkten Zugriff auf kritische Systeme.

  • Erzwingen Sie zeitlich begrenzten Zugriff und Sitzungsprotokollierung für Fernverbindungen.

Phase 3: Sicherheitsbetrieb und Monitoring (IEC 62443-3-3, 62443-2-1)

Ein resilienter IACS erfordert ein kontinuierliches Sicherheitsmonitoring.

3.1. Überwachung auf bösartige Aktivitäten

• Umsetzbare Schritte:

  • Implementieren Sie Lösungen für Sicherheitsinformations- und Ereignismanagement (SIEM) sowie Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR) für die zentrale Protokollsammlung, Korrelation und Analyse.

  • Erfassen Sie relevante Protokolle von Netzwerkgeräten, Servern, PLCs und Anwendungen.

  • Integrieren Sie ein Intrusion Detection System (IDS) oder ein Intrusion Prevention System (IPS), das industrielle Protokolle auf Anomalien und Bedrohungssignaturen prüfen kann.

  • Definieren Sie klare Verfahren für die Reaktion auf Sicherheitsvorfälle.

4. Wirksamkeit des Monitorings: Definition aussagekräftiger Key Performance Indicators (KPIs)

Das Tracking von KPIs ist entscheidend, um die Wirksamkeit der implementierten Kontrollen zu messen und eine kontinuierliche Verbesserung sicherzustellen. Diese KPIs sollten für Ihre spezifischen Risiken und Geschäftsziele relevant sein.

• Wirksamkeit des Asset-Managements:

  • Prozentsatz der Assets mit aktuellem Sicherheits-Patch-Stand.

  • Durchschnittliche Zeit bis zur Behebung einer kritischen Schwachstelle auf einem kritischen Asset.

• Wirksamkeit der Netzwerksicherheit:

  • Anzahl der festgestellten Verstöße gegen Firewall-Richtlinien.

  • Prozentsatz der blockierten unautorisierten Verbindungsversuche.

• Wirksamkeit der Endpunktsicherheit:

  • Prozentsatz der Endpunkte mit aktualisierten Anti-Malware-Signaturen.

  • Anzahl der erkannten und eingedämmten Malware-Vorfälle.

• Wirksamkeit der Sicherheit des Fernzugriffs:

  • Anzahl der Fernzugriffssitzungen, die ordnungsgemäß autorisiert und überwacht wurden.

  • Anzahl der blockierten unautorisierten Fernzugriffsversuche.

• Wirksamkeit des Sicherheitsbetriebs:

  • Mean Time to Detect (MTTD) eines Sicherheitsvorfalls.

  • Mean Time to Respond (MTTR) auf einen Sicherheitsvorfall.

Konzentrieren Sie sich auf wenige, hochrelevante KPIs und stellen Sie diese auf einem Dashboard für das Sicherheitsmonitoring und die kontinuierliche Verbesserung dar. Verfolgen Sie Trends über die Zeit, um Anpassungsbedarf zu identifizieren.

Aufrechterhaltung von Audit-Trails

Vollständige und revisionssichere Audit-Trails sind entscheidend für die Untersuchung von Vorfällen, Compliance und die Analyse nach einem Vorfall.

Protokollmanagement

• Umsetzbare Schritte:

  • Definieren Sie, welche sicherheitsrelevanten Ereignisse zu protokollieren sind, und stellen Sie die Abdeckung kritischer Bereiche sicher (Zugriff, Netzwerkverkehr, Systemänderungen).

  • Implementieren Sie zentrales Logging. Protokolle sollten unveränderlich sein, mit einer vertrauenswürdigen Zeitquelle (NTP) versehen und sicher gespeichert werden.

  • Stellen Sie geeignete Richtlinien zur Protokollaufbewahrung gemäß regulatorischen Anforderungen und betrieblichen Erfordernissen sicher.

Erfassung wesentlicher Ereignisse

Audit-Trails müssen detaillierte Angaben zu entscheidenden Ereignissen erfassen, darunter:

• Authentifizierung und Autorisierung: Erfolgreiche und fehlgeschlagene Anmeldungen, Änderungen an Benutzerkonten und Berechtigungen.

• Systemzugriff und Änderungen: Fernzugriffsverbindungen, Änderungen an der Systemkonfiguration, Uploads und Downloads von Anwendungsprogrammen, Installation von Sicherheits-Patches.

• Netzwerkverkehr: Sicherheitsrelevante Firewall-Ereignisse, potenzielle Sicherheitsalarme von IDS/IPS.

• Betriebliche Aktionen: Änderungen an Sollwerten oder Steuerungskonfigurationen, die Sicherheits- oder Betriebsauswirkungen haben könnten. (Dies kann für die Rekonstruktion von Vorfällen entscheidend sein).

KPI-Dashboard: Wirksamkeit der IEC 62443-Kontrollen messen

Stellen Sie sicher, dass Sie NTP (Network Time Protocol) erwähnen. Ein Audit-Trail ist nutzlos, wenn die Zeitstempel auf Ihren PLCs, Firewalls und HMIs nicht übereinstimmen. Bei einem IEC 62443-Audit ist „Clock Drift“ ein häufiger Befund.

Die Implementierung von IEC 62443-Sicherheitskontrollen ist kein einmaliges Projekt; sie ist ein fortlaufender Prozess, der Engagement erfordert. Durch diesen risikobasierten Ansatz, die Einbindung wichtiger Stakeholder (IT, OT, Management, Anbieter) und die konsequente kontinuierliche Überwachung und Bewertung können Organisationen die Cybersicherheitslage ihrer industriellen Systeme erheblich verbessern. Dieser methodische Ansatz stellt nicht nur Compliance sicher, sondern echte betriebliche Resilienz.

Zusätzliche Ressourcen

Ein herunterladbarer Bericht zum Cybervorfall bei Stryker
Checkliste zur IEC 62443-basierten OT-/ICS-Risikobewertung für den Lebensmittel- und Getränkeherstellungssektor
Checkliste zur Bewertung und Auswahl von Anbietern für Lösungen zum Scannen von Wechseldatenträgern