Trust & Complianceiv.ifit-e.uni-klu.ac.at/~iv/images/iv/publikationen/industry_4-0_security_iv...

Your business technologists. Powering progress

Trust & ComplianceIndustry 4.0

Security 4.0

Security first: Datensicherheit als

Grundstein und Herausforderung

für Industrie 4.0 Projekte

Andreas Köberl & Dieter Jandl

2Your business technologist. Powering progress

The Industrial World is changingThe Industrial World is changingThe Industrial World is changingThe Industrial World is changingFrom single, From single, From single, From single, siloedsiloedsiloedsiloed systems and organizations to networks of capabilitiessystems and organizations to networks of capabilitiessystems and organizations to networks of capabilitiessystems and organizations to networks of capabilities

… companies of the future

will fulfill individual customer needs by using

collaborative and agile network of capabilities

While todays enterprises are linearly organized

and optimized within the boundaries

of organizational and system siloes…

TODAY FUTURE

CHANGEDRIVERS

Always connected

New “digital” competitors

Age of the customer

Cost pressure

Internet of everything

Highly individualized product

Lot size 1

Shorter time to market

Re-industrialization of Europe


Industry 4.0Industry 4.0Industry 4.0Industry 4.0

3

Haupttrends:

� Integration von Arbeitnehmern in einen neuen Produktionsprozess mit neuen intelligenten Technologien.

� Integration von Informationen, Verfahren, Maschine-Maschine, Maschine-Mensch, die Mensch-Mensch Kommunikation und Analyse aller Prozesse und Systeme.

� Wodurch eine geschlossene Wertschöpfungskette über verschiedene Produktionseinheiten für agile On-Demand-Produktion geschaffen wird.

� Einsatz von Fertigungsintelligenz zur Optimierung der Produktion um auf die Anforderungen des Marktes rasch zu reagieren.

� Kontinuierliche Neukonfiguration des Geschäftsmodells in einer agilen und kundenorientierten Produktionskette, die für jedes einzelne Produkt unterschiedlich sein kann.

Transformation zu einer intelligent verbundenen Produktionsumgebung des traditionellen mehrschichtigen Konzepts von Shop-Floor-Maschinen die von einem Fertigungssystem gesteuert werden und den PLM und ERP-Systemen die die Verwaltung der Produktdaten und Planung von mehr oder weniger statischen Geschäftsprozesse durchführen.

Produktion als eine Folge von Schritten, in ihrer Verkörperung als Montagelinien (Taylorism).

Roboter in der Produktion und programmierbare Werkzeugmaschinen.

Verbundene Systeme, Prozesse, Mitarbeiter und Produkte.

Maschinen, Energieerzeugung und -umwandlung (z.B. Dampfmaschinen).


Stay secure in the connected worldStay secure in the connected worldStay secure in the connected worldStay secure in the connected world....Atos comprehensive capabilities for your digital tAtos comprehensive capabilities for your digital tAtos comprehensive capabilities for your digital tAtos comprehensive capabilities for your digital transformation ransformation ransformation ransformation jjjjourney.ourney.ourney.ourney.


Security 4.0Security 4.0Security 4.0Security 4.0

5

Sicherheitsziele (Auszug):

� Schutz der Produktion

� Schutz der Daten

durch:

� Entwickeln von Szenarien um Risiken richtig einzuschätzen und Maßnahmen entwickeln zu können.

� Überprüfen der bestehenden Sicherheitsmaßnahmen um deren Tauglichkeit und Robustheit zu kennen.

� Implementieren zusätzlicher Maßnahmen z.B. durch mehrfache Absicherung der Kerneinheiten um unterschiedlichen Angriffs-szenarien vorzubeugen.

� Regelmäßige Überprüfung der Szenarien und der Tauglichkeit von getroffenen Maßnahmen.

Eine neue Dimension der Verwundbarkeit durch die Digitale Transformation und eine neue Qualität der (kommerziellen) Cyberkriminalität, machtIT-Sicherheit zur obersten Priorität.

PerimeterSecurity

2008

2018

1998

© Atos

Industry 4.0 stellt uns vor zusätzliche Herausforderungen!

jetzt


BedrohungsBedrohungsBedrohungsBedrohungs----KlassifizierungKlassifizierungKlassifizierungKlassifizierung nachnachnachnach GartnerGartnerGartnerGartner

6


Sicherheitsbegriff in der IndustrieSicherheitsbegriff in der IndustrieSicherheitsbegriff in der IndustrieSicherheitsbegriff in der Industrie

▶ Der deutsche Begriff „Sicherheit“ ist mehrdeutig belegt

▶ Die englische Sprache trennt wesentlich deutlicher zwischen „Safety“ und „Security“

▶ Safety -> Sicherheit/Sicherung des Bedieners und der Umgebung im Zusammenhang mit einer Maschine, einem Ablauf bzw. Produktionsprozess

▶ Security -> Sicherheit von (IT)-Systemen, also z.B. den Schutz vor Angreifern oder vor Sabotage des IT-Systems

▶ Normen, Standards und Richtlinien

▶ ISO 9000, 9001, ...

▶ ISO 27000, 27001, 27005, ...

▶ BDEW WHITEPAPER (27019, 27009)

▶ BSI GSHB, ISIS-Sicherheitsnorm

▶ VDI 2182

▶ NERC CIP, NIST 800-82

▶ ISA/IEC-62443 (zuvor ISA-99)


Der Der Der Der WegWegWegWeg zuzuzuzu Security 4.0Security 4.0Security 4.0Security 4.0

Ziel: Erreichen eines Branchen-Sicherheits-niveaus

▶ Bestandsaufnahme des bestehenden Sicherheitsniveaus

▶ Kombination mit technischen Über-prüfungen mittels Penetrationstests durch versierte Angreifer (Certified EthicalHacker)

▶ Sicherheitskonzepte zum Umsetzungs-nachweis (spez. zur Erfüllung im Bereich von Kritische Infrastrukturen)

▶ Sicherheitsüberwachung und Alarmierung

▶ Durchführung von IS-Revisionen durch einen zertifizierten Sicherheitsdienstleister


� Penetration Test� Security Scans & PEN-Tests von extern und

intern� Web-Application PEN-Test

� Security Maturity Assessment (ISO2700x)

� Concise Security Assessment, ein High Level Assessment in fünf Tagen

� Security Maturity Assessment

� Risiko Analyse� Detaillierte Risikoanalyse inklusive

Prozessoptimierung und Risiko Management

� Managed Security Services� Information Protection � Identity & Access Mgmt.� Information Protection � Security Systems Integration Services

Security 4.0 - Die nächstenSchritteVon Von Von Von BeratungBeratungBeratungBeratung & Design & Design & Design & Design bisbisbisbis ImplementierungImplementierungImplementierungImplementierung und und und und BetriebBetriebBetriebBetrieb fürfürfürfür allealleallealle EbenenEbenenEbenenEbenen der Securityder Securityder Securityder Security

Device & Frontend Security Backend Security

� Einzelgeräte Assessment� Einzelgeräte Überprüfung (Ist-Erhebung).� Audit- und Innovationsunterstützung

� Source Code Analyse� Analyse von einzel oder multiple Application

Quellcodes� Erstellung von Sicherheits-Code-Richtlinien

� Device Co-Development� Untersuchung von vernetzten Objekten und

drahtlosen Interfaceverbindungen.� Unterstützung für HW sourcing und

Technologieselektion für eingebettete Geräte und/oder Kommunikations-Gateways.

� Lieferung von Treiber und Firmware Entwicklung inklusive Validierung und Integration.

� Cyber Threat (AHPS)� Platform Protection� Perimeter Protection

Tage

Wochen

Monate.…

..….

.……

..…

…


Security 4.0 - Die nächstenSchritteVirenschutzVirenschutzVirenschutzVirenschutz auf Legacy auf Legacy auf Legacy auf Legacy SystemenSystemenSystemenSystemen

� Attacken an Industrie Control Systemen (ICS) sind ernst und folgeschwer.

• Ein Stahlwerk in Deutschland erlitt Schäden am Hochofen.

• Das Stromnetze in der Ukraine wurde sabotiert.

• ICS-Attacken sind auf dem Vormarsch. Im Jahr 2014 gab es 245 Angriffe alleine in den USA.

� Operating Systeme deren Laufzeit überschritten ist setzen Unternehmen hohen Risiken aus:

• Cyber-Angriffe, die Sicherheitslücken in älteren Betriebssystemen ausnutzen

• Verletzungen der Industrie Sicherheitsbestimmungen

• Datenschutzverletzungen und Verlust kritischer Daten

� Unternehmen, die ihre Legacy-Systeme aufgrund von Kosten oder wegen alter, proprietäre Anwendungen, die nicht auf neueren Plattformen ausgeführt werden können, beibehalten müssen, sollten wirksame Schutzmaßnahmen treffen:

• Härten von physischen und virtuellen Servern und sperren von Anwendungen auf Legacy-Systemen wie Windows Server 2003 oder Legacy-UNIX-Versionen.

• Aufbau einer mehrschichtigen Endpoint-Security um vor Malware, Betriebssystem- und Software-Schwachstellen der Endanwender Systeme wie z.B. Windows XP, zu schützen.


Machines and Devices

Core Communication Platform

Secure Network Connection / Wireless

Authentication & Authorization

Logging

Reporting / Analysis

Web Portal / Web Services

CustomerService PartnerService Center

Customer spec. Services

Service Techn. EU External Specialist Technician

Remote Access Collaboration Secure Data Transmission

Industrial DataAnalytics Applications

Data Scientists

CCP ist die Antwort von Atos auf das “Internet der Dinge” Millionen Geräte können über CCP sicher kommunizierenMillionen Geräte können über CCP sicher kommunizierenMillionen Geräte können über CCP sicher kommunizierenMillionen Geräte können über CCP sicher kommunizieren

…

CCP Service Agent

AssetManagement

IntelligentFile Transfer

Condition & Usage Data Monitoring

Alarming &Alerting

Service Techn. US


Top 10 Security4.0 Maßnahmen

▶ Sensibilisierung und Bewusstsein

▶ Verantwortung – nur bei der Geschäftsführung und nicht beim CIO, CISO, in der IT-Abteilung, Instandhaltung oder Technik.

▶ Budget

▶ Schutzmaßnahmen nach außen (Firewall, Fernwartung)

▶ Backup & Recovery, Versionierung

▶ Dokumentation + Identitäten

▶ Segmentierung

▶ Anti Malwareschutz

▶ Integration im Managementsystem

▶ Security by design, Komplexität reduzieren

13Your business technologist. Powering progress

Kontaktdaten - addITVertrieb

Roland Obtresal

Mail [email protected]

Mobile +43(0)664 8855 4117

Manuela Krendl


Mobile +43(0)664 8855 3754

Leo Scharfegger


Mobile +43(0)664 8855 6021

Shayda Osman


Mobile +43 (0)664 8855 0853

Sales Head:

Sales:

Trust & Complianceiv.ifit-e.uni-klu.ac.at/~iv/images/iv/publikationen/industry_4-0_security_iv...

Documents

Transcript of Trust & Complianceiv.ifit-e.uni-klu.ac.at/~iv/images/iv/publikationen/industry_4-0_security_iv...