CPS: Braucht es neue Sicherheits- und Risikokonzepte?

IAM, Netzwerk- und Endpunktsicherheit, Anwendungs- und Datensicherheit, Cloud-Sicherheit und Sicherheitsabläufe sind zwar „Prioritäten“ für die meisten Führungskräfte im Bereich Sicherheits- und Risikomanagement (SRM) – dennoch reichen sie nicht aus. In dem Maße, wie Systeme, die mit der physischen Welt interagieren, mit Cyber-Umgebungen verbunden werden, entstehen Cyber-Physical Systems (CPS), die herkömmliche Sicherheits- und Risikoansätze in Frage stellen.

Cyber-Physical Systems (CPS) sind Integrationen von Datenverarbeitung, Netzwerken und physischen Prozessen. Eingebettete Computer und Netzwerke überwachen und steuern physische Prozesse, mit Rückkopplungsschleifen. In diesen wirken sich physische Prozesse auf Berechnungen aus und umgekehrt.

In der Praxis sind CPS ein großartiger „Schirm“ für andere Konzepte wie:

• Digitale Zwillinge,
• Cloud Computing und
• Industrielles Internet der Dinge (oder IIoT).

Das wirtschaftliche und soziale Potenzial von PSCs ist daher viel größer als bisher angenommen. Weltweit werden große Investitionen in die Entwicklung dieser Technologie getätigt.

Durch die Systeme haben Unternehmen die Möglichkeit, die Realität der physischen Welt in digitalen Umgebungen darzustellen. So können sie durch die Technologie Simulationen, Tests, Verschleißvorhersagen und viele andere Möglichkeiten durchführen. Dies kann für das Unternehmen einen erheblichen Gewinn an Wettbewerbsfähigkeit bedeuten.

Heute sind die Sektoren, die am meisten von der Schaffung cyber-physischer Systeme profitiert haben, diejenigen, die große Infrastrukturen und kostspielige Operationen beinhalten. Dazu gehören die Öl- und Gasindustrie, die Energieerzeugung (Kraftwerke, Staudämme, Windturbinen, Solaranlagen usw.), die Verteilung (Übertragungsleitungen), die Luftfahrt, die Schwermetallmechanik und andere. Zudem auch diejenigen, die kritische Güter und Dienstleistungen herstellen, die bei der Analyse ihrer Risiken sehr vorsichtig sein müssen. Wenn es in diesen Sektoren zu Ausfällen kommt, bedeutet dies erhebliche Verluste oder sogar den Verlust von Menschenleben.

Sicherheitsperspektive

Aus der Perspektive der Sicherheit oder des Datenschutzes ist ein cyber-physisches (Multi-Agenten-) System ein Netz von Sensoren, Aktoren und Rechenknoten, d. h. ein System mit mehreren Angriffsflächen und latenten Schwachstellen, die durch Software- und physische Angriffe entstehen.

Viele cyber-physische Systeme sind Teil des Internets der Dinge, das einen wichtigen Angriffsvektor darstellt. Bei IoT-Geräten muss die Sicherheit bereits vor der Entwicklung implementiert werden. Der Schwerpunkt sollte auf einer elementaren Zugangskontrolle, einer ordnungsgemäßen Kommunikation und Authentifizierung liegen. Ebenso auf der Validierung des Fehlens bekannter Schwachstellen im Gerät, bevor es verkauft und verwendet wird.

Es muss darauf geachtet werden, dass die Sicherheit der Netze, zu denen die Cyber-Physical Systems gehören, gewährleistet ist. Dazu gehören Sicherheitsaudits, Penetrationstests, die ständige Überwachung der Netzwerkaktivitäten und die Aktualisierung der Systeme.

Die kontinuierliche Entdeckung, Überwachung, Bewertung und Priorisierung von Risiken, sowohl proaktiv als auch reaktiv, im gesamten cyber-physischen Kontinuum ist eine Priorität für Sicherheits- und Risikomanagement-Experten (SRM). Bedenken über Verletzungen der physischen Grenzen, Störung, Hacking, Spoofing, Manipulation, Eindringen in die Befehlsstruktur, Denial of Service (DoS) oder Malware, die auf physischen Anlagen eingesetzt wird, müssen in Betracht gezogen werden.

Dies setzt voraus, dass die CPS-Infrastruktur mit Instrumenten ausgestattet wird, die eine vollständige und umfassende Risikosicht auf so viele Systeme wie möglich entlang des cyber-physischen Kontinuums – Netzwerk, Zugang, Identitäten usw. – ermöglichen. Zudem bedarf es, CPS-Lösungen zu überwachen, auch wenn die Sichtbarkeit auf Protokolle oder Netzwerkverkehr beschränkt ist.

Moderne Netzwerk-Mapping-Tools sind heute zum Beispiel bereits in allen professionellen Netzwerkimplementierungen üblich und helfen Systemadministratoren, den Überblick über alles zu behalten, was für sie wichtig ist. Sie liefern z. B. grundlegende Informationen darüber, welche Geräte sich in einem bestimmten Netzwerk befinden, wie ihre Adressen lauten, mit welchen anderen Komponenten sie direkt kommunizieren (und wann), welche Kommunikationsmethoden sie dabei verwenden und vieles mehr. Eine aktuelle Netzwerkansicht ¬– ob sie nun als Netzwerkdiagramm, Karte oder Diagramm bezeichnet wird – ist für sichere CPS-Lösungen unerlässlich.

Einige Arten von Bedrohungen für cyber-physische Systeme sind sehr alt. Dies gilt insbesondere für Insider-Bedrohungen. So manipulierte im Jahr 2000 ein unzufriedener Bauunternehmer die funkgesteuerte SCADA-Abwasseranlage des Maroochy Shire Council in Queensland, Australien, und leitete 800.000 Liter Rohabwasser in die örtlichen Parks.

In jüngster Zeit haben Ransomware-Angriffe Pipelines lahmgelegt, Logistikabläufe gestört und sogar die Stahlproduktion gestört. Jemand hackte sich in das Steuerungssystem einer Wasseraufbereitungsanlage in Florida, USA, und versuchte, der Wasserversorgung potenziell gefährliche Mengen an Natriumhydroxid zuzuführen. Ein GPS-Spoof beeinträchtigte die Schiffsnavigation und Hacker verschafften sich über ein Fischglas Zugang zur Datenbank eines Kasinos mit Hochrisikospielern.

Zudem existieren neue Bedrohungen, vor denen man sich in Acht nehmen muss. 5G bietet viele Vorteile wie eine schnellere Kommunikation ¬– doch die Sicherheitsstandards sind komplex und gezielte Angriffe werden wahrscheinlich zunehmen. Weitere neue Bedrohungsvektoren sind die speziellen Risiken, die von Drohnen, intelligenten Stromnetzen und autonomen Fahrzeugen ausgehen.

Gartner prognostiziert, dass die finanziellen Auswirkungen von CPS-Angriffen, die zu Todesfällen führen, bis 2023 mehr als 50 Milliarden US-Dollar erreichen werden. Selbst ohne Berücksichtigung des Wertes von Menschenleben werden die Kosten für Unternehmen in Form von Entschädigungen, Rechtsstreitigkeiten, Versicherungen, Bußgeldern und Reputationsverlusten erheblich sein.

Nicht zufällig gehen die Prognosen des Beratungsunternehmens davon aus, dass bis 2023 75 % der Unternehmen die Risiko- und Sicherheitsverwaltung umstrukturieren werden, um neue CPS- und konvergierte IT-, OT-, Internet of Things (IoT)- sowie physische Sicherheitsanforderungen zu erfüllen.

In dem Bericht „How to develop a security vision and strategy for cyber-physical systems” (Wie man eine Sicherheitsvision und -strategie für cyber-physische Systeme entwickelt) stellt Gartner einen detaillierten strategischen Plan zur Formalisierung dieses Prozesses zur Verfügung. Dieser hebt sieben entscheidende Schritte hervor, um sicherzustellen, dass Manager mit der bestmöglichen CPS-Strategie hervorgehen:

• Visionserklärung: Unternehmen sollten Visionserklärungen erstellen, die prägnant, klar, relevant und zielorientiert sind. Diese Aussagen sollten die individuellen Unternehmensziele einbeziehen und die für den Markt spezifischen Technologie-/Umwelttrends sowie die besonderen Risiken berücksichtigen.
• Bewertung des Ist-Zustands: Unternehmen sollten sich einen Überblick über die Situation verschaffen, indem sie alle am CPS beteiligten Personen befragen. Diese Fragen, die sich auf Risiken, die Einhaltung von Vorschriften, die Entscheidungsfindung usw. beziehen können, zeigen auf, welche Verbesserungen vorgenommen werden müssen.
• Lückenanalyse: Laut Gartner sollte sich die Gap-Analyse auf Kultur, Governance, Fähigkeiten und die Analyse der Auswirkungen auf das Geschäft konzentrieren und als Brücke zwischen der Visionserklärung und der Bewertung des aktuellen Zustands dienen. Dieser Schritt sollte als übergreifender strategischer Wandel und nicht als kleine taktische Änderung betrachtet werden sowie eine solide Grundlage für zukünftige Entscheidungen bilden.
• Prioritätensetzung: Nach der Identifizierung der Aufgaben, die erledigt werden müssen, ist die Festlegung von Prioritäten ein entscheidender nächster Schritt. Gartner empfiehlt, diese Aktivitäten in zwei Gruppen aufzuteilen: Aktivitäten, die SRM-Führungskräfte selbst erledigen können, und Aktivitäten, die Investitionen des Unternehmens erfordern.
• Genehmigungen: Für die Aktivitäten, die die Zustimmung der Organisation erfordern, sind Genehmigungen erforderlich. Um diese Genehmigungen zu erhalten, ist es wichtig, das Grundprinzip zu umreißen, den Ansatz zu organisieren und mit den Interessengruppen zu sprechen, bevor man ihn der Geschäftsleitung vorstellt.
• Berichterstattung: Die Berichterstattung ist ein äußerst wichtiger Schritt bei der Aufrechterhaltung einer effektiven CPS-Strategie und sollte sich laut Gartner auf die Messung von „Sicherheit, betrieblicher Widerstandsfähigkeit, physischer Sicherheit oder Maßnahmen zur Sicherung der Lieferkette” konzentrieren.
• Kontinuierliche Überwachung: Wie bereits erwähnt, ist die Sicherheits- und Risikomanagement-Landschaft ständig im Wandel. Jeden Tag tauchen neue Risiken auf, was bedeutet, dass keine Sicherheitsstrategie fehlerfrei ist. Diese Tatsache machen die kontinuierliche Überwachung und Anpassung an Veränderungen so wichtig.

Schlussfolgerung

Um eine CPS-Strategie zu entwickeln, die in den sich schnell entwickelnden Umgebungen von heute die Widerstandsfähigkeit und die Wachstumsziele des Unternehmens unterstützt, müssen Sicherheits- und Risikoverantwortliche die folgenden Schritte befolgen:

• Entwerfen Sie eine Vision und Strategie, die Sicherheits- und Risikoprofile direkt mit den Geschäftsergebnissen verknüpft.
• Befolgen Sie einen klassischen Prozessablauf zur Bewertung des Ist-Zustands, Lückenanalyse, Priorisierung, Genehmigung und Berichterstattung, um die Vision in Maßnahmen zu formalisieren.
• Überwachen Sie die Strategie und passen Sie sie laufend an, um aufkommende Risiken zu berücksichtigen, z. B. Vorschriften, die zunehmende Autonomie von Benutzern und Geschäftseinheiten oder technologische Veränderungen.