Die drei häufigsten Vorurteile, die immer wieder zu einer Trennung zwischen IT und OT führen, lassen sich in die Bereiche Philosophie, Projekt und Technologie einteilen.
- Bei Philosophievorurteilen dreht es sich um allgemeine Perspektiven bezüglich der Betriebstechnologiefunktion.
- Projektvorurteile befassen sich mit den physischen und geistigen Hindernissen, die den Fortschritt behindern.
- Technologievorurteile konzentrieren sich auf die Auswahl geeigneter Tools für OT-definierte Projekte mit der Unterstützung, dem Budget und der Perspektive der OT-Abteilung.
In diesem Beitrag werden die drei Vorurteile zwischen IT- und OT-Teams untersucht und Möglichkeiten für beide Teams erörtert, diese zu überwinden.
Das Philosophievorurteil
Im Folgenden finden Sie drei wichtige Punkte zum „Philosophievorurteil“. Sie heben die grundlegenden Unterschiede in den Perspektiven von IT und OT hervor, und erklären, warum einige wichtige Aspekte der OT übersehen oder missverstanden werden können.
Betriebstechnologie wird in der Analystenforschung oft ignoriert
Wenn IT-Organisationen um Rat und Einblicke bitten, verlassen sie sich in der Regel auf herkömmliche IT-Forschungsquellen. Diese Forschungsunternehmen investieren viel Zeit, Ressourcen und Aufwand in die Untersuchung einer Vielzahl von IT-Tools. Es ist jedoch wichtig zu beachten, dass diese Analysen von IT-Experten durchgeführt werden, hauptsächlich zu IT-Zwecken in IT-Umgebungen. Daher kann es bei der Auswahl von Technologie und deren Ausrichtung an Komponenten für eine OT-Umgebung zu einer erheblichen Trennung zwischen IT- und OT-Programmen kommen.
Anders ausgedrückt: IT-Tools lassen sich nicht immer nahtlos in eine OT-Umgebung integrieren, zumindest nicht in der Art und Weise, wie sie ursprünglich für den Einsatz in herkömmlichen IT-Umgebungen vorgesehen sind.
Ein Beispiel für eine IT-Trennung innerhalb von OT-Netzwerksystemen ist ein IT-Sicherheitstool, das sich auf häufiges Patching konzentriert. Es schützt zwar vor Schwachstellen, erfordert jedoch ständige Neustarts. Der Einsatz dieses Tools in der OT-Umgebung kann katastrophal sein, insbesondere wenn es sich um ein Fertigungs- oder Kraftwerkssteuerungssystem handelt. Erzwungene Neustarts können kritische Prozesse unterbrechen und zu Ausfällen oder Sicherheitsrisiken führen. Aus diesem Grund ist es wichtig, die betrieblichen Gegebenheiten und Einschränkungen Ihrer OT-Umgebung zu berücksichtigen, bevor Empfehlungen ausgesprochen werden.
OT-Netzwerksysteme sind nicht einheitlich
In vielen Fällen verlassen sich IT-Teams auf ausgelagertes Know-how und zentralisierte Tools, um eine Flotte ähnlicher und nahezu identischer Systeme zu verwalten. Mit diesem Ansatz können sie Hunderte oder sogar Tausende von Anlagen effizient mit einem einzigen Toolset oder einem kleinen zentralisierten oder Offshore-Team verwalten.
Im Bereich der OT sind die Dinge jedoch anders. Auch wenn es eine Vielzahl von IT-ähnlichen Anlagen gibt, so sind sie doch unterschiedlich konfiguriert, laufen mit unterschiedlicher Software, weisen spezifische Modifikationen auf und haben möglicherweise spezielle Anforderungen. Diese Vielfalt führt oft zu einer Situation, in der ein für eine bestimmte Generation oder ein bestimmtes Profil des Betriebssystems ausgewähltes Tool möglicherweise nicht für alle Arten von Anlagen in der OT-Domäne geeignet ist. Folglich ist jedes Tool, das nur einen Teil der Anlagen abdeckt, nicht in der Lage, eine umfassende Abdeckung zu bieten.
System Center Configuration Manager (SCCMs) eignen sich zwar hervorragend für die Installation und Sicherung aller Computer innerhalb eines Unternehmens von einem Ort aus in einer IT-Umgebung, sind jedoch nicht für die Anforderungen von über 1000 Linux- oder Unix-Betriebsressourcen ausgestattet, die häufig in Betriebsumgebungen verwendet werden.
Bei der OT-Sicherheit ist es wichtig, dem Grundlegenden Vorrang vor der Komplexität zu geben
Wie oft sind Sie auf Berichte gestoßen, die darauf hinweisen, dass der betrieblichen Seite eines Unternehmens wichtige Elemente wie Perimeterüberwachung, SIEM (Security Information and Event Management) oder SOC (Security Operations Center)-Überwachung fehlen? Während diese Aspekte für ein robustes Sicherheitsprogramm zweifellos von entscheidender Bedeutung sind, besteht die Herausforderung darin, dass Warnungen oder Überwachungen häufig erst im Nachhinein erfolgen. Was in vielen OT-Umgebungen seit Jahren übersehen oder vernachlässigt wird, sind die grundlegenden Bausteine der Sicherheit, wie Patching, Backups, Systemhärtung und Implementierung des Least-Privilege-Prinzips.
Wenn Sie die OT-Sicherheit erheblich verbessern möchten, müssen Sie unbedingt mit diesen grundlegenden Maßnahmen beginnen.
Das Projektvorurteil
Im Folgenden gehen wir die einzigartigen Herausforderungen des „Projektvorurteils“ durch, die sich aus der engen Integration der OT in ihre unbeweglichen Komponenten ergeben. Diese drei Erkenntnisse geben Aufschluss darüber, warum sich die Verwaltung von OT-Projekten erheblich von herkömmlichen IT-Aktivitäten unterscheidet und welche komplexen Faktoren dazu führen können, dass die OT übersehen oder missverstanden wird.
Betriebstechnologie ist mit unbeweglichen Objekten verbunden
Wir wissen, dass OT-Systeme oft veraltete Hardware und Betriebssysteme umfassen, die nicht mehr unterstützt werden, was ein einfaches Upgrade auf Windows 10 unmöglich macht. Diese älteren Systeme verwenden in der Regel spezielle Software und Kommunikationsprotokolle, die für den sicheren Betrieb von Einrichtungen unerlässlich sind. Wenn der Anbieter keine Upgrade-Lösung anbietet oder wenn der Einrichtung das Budget und die Ausfallzeiten fehlen, die für Software-Upgrades, Tests, Dokumentation und die Wiederherstellung des regulären Betriebs erforderlich sind, ist ein Upgrade der Anlage nicht durchführbar. In einigen Fällen überwachen diese Anlagen erhebliche Teile eines Betriebs. Ein Upgrade eines DCS-Systems (Distributed Control System) oder eines SCADA-Systems (Supervisor Control and Data Acquisition) erfordert sehr viel Zeit und finanzielle Ressourcen, was zu längeren Produktionsausfällen führt. Wenn Sie ein OT-Upgrade in Betracht ziehen oder ein System-Upgrade anfordern, müssen Sie wissen, dass dies nicht so einfach oder isoliert ist wie das einfache Upgrade eines einzelnen Betriebssystems, und dass es weitreichende Auswirkungen hat.
Betriebstechnologiesysteme erfordern OT-Services und -Support
Die Sicherung von OT-Umgebungen stellt zwei Herausforderungen und widersprüchliche Prioritäten dar: 1) IT-Teams und 2) Maschinen- und Anlagenbauer (OEM).
Abstimmung der Bemühungen zwischen IT- und OT-Teams
OT-Teams sind vorsichtig, wenn es um nicht autorisierten Zugriff und Änderungen an ihrer kritischen Infrastruktur geht. IT-Initiativen wie Software-Updates oder der Einsatz neuer Technologien verstärken diese Bedenken weiter.
Fazit: OT-Teams müssen sich mit der Idee anfreunden, dass jeder in ihrer Umgebung auf ihre Anlagen zugreifen oder sie ändern könnte. Die unterschiedlichen Perspektiven zwischen IT- und OT-Teams unterstreichen, wie wichtig es ist, Vertrauen zwischen den Gruppen aufzubauen. Der Aufbau dieses Vertrauens erfordert Zeit und konsistente Kommunikation, ist jedoch für die erfolgreiche Bereitstellung und Instandhaltung von Sicherheitstools in der OT entscheidend.
Navigation der OEM-Anbieter-Beziehungen
Maschinen- und Anlagenbauer (OEM) sind eine weitere Einflussquelle in Sachen Sicherheit. Häufig zögern diese Anbieter, wenn OT-Teams Sicherheitslösungen implementieren möchten, weil sie sich Sorgen darüber machen, wie sich diese Änderungen auf ihren Support für kritische Systeme auswirken könnten. Diese Zögerlichkeit manifestiert sich auf zwei Arten:
- Abhängigkeit vom Anbieter: OT-Teams sind in Bezug auf die betriebliche Unterstützung auf den OEM angewiesen und geben den Einwänden des Anbieters nach, selbst bei notwendigen Sicherheitsänderungen.
- Vertragliche Einschränkungen: OEM-Anbieter können ihre Verträge als Schutz nutzen, um OT-Teams daran zu hindern, Sicherheitstools einzusetzen, die nicht vom Anbieter selbst getestet oder genehmigt wurden.
In beiden Fällen stellt das Verständnis der Rolle von OEM-Anbietern im Anlagenbetrieb eine große Herausforderung innerhalb von OT dar, einem Bereich, in dem es der IT möglicherweise an Erfahrung fehlt. Bevor Sie OT-Upgrades vornehmen, müssen Sie die bestehende Beziehung zwischen Ihrem OT-Team und den OEM-Anbietern verstehen.
Das IT-Budget sollte vom OT-Budget getrennt sein.
Oft zögern CISOs oder IT-Führungskräfte, Sicherheitslösungen für OT zu genehmigen, weil sie die schiere Anzahl der Anlagen in einer OT-Umgebung unterschätzen. In größeren Einrichtungen oder globalen Unternehmen kann es Zehntausende von Anlagen geben, die manchmal sogar die Anzahl der IT-Ressourcen überschreiten. Wenn OT-Projektverantwortliche erhebliche Budgets zur Verbesserung der Anlagensicherheit anfordern, treffen sie auf Widerstand. Sie werden möglicherweise aufgefordert, den Projektumfang zu reduzieren oder das Projekt in mehreren Phasen umzusetzen. Und den bereits ausgelasteten Betriebsmitarbeitern können die Bereitstellungs- und Instandhaltungsaufgaben zugewiesen werden, um die Kosten zu senken. Leider führt dies oft zu Projekten, die nie vollständig implementiert oder ordnungsgemäß unterhalten werden. Viele OT-Umgebungen hinken in grundlegenden Sicherheitspraktiken monate- oder sogar jahrelang hinterher, und die anfänglichen Investitionen, die für den Einsatz von Technologie und die Sicherung dieser Anlagen erforderlich sind, stellen erhebliche Vorabkosten dar.
Technologievorurteil
Die drei folgenden Erkenntnisse vermitteln ein besseres Verständnis der einzigartigen Schwierigkeiten, die mit dem OT-Sicherheitsmanagement verbunden sind, und erklären, warum OT-Projekte sich signifikant von herkömmlichen IT-Projekten unterscheiden. Außerdem beschreiben sie die komplexen Faktoren, die manchmal kritische Aspekte der OT-Sicherheit trüben oder behindern können.
IT-Management-Lösungen setzen relativ robuste Endgeräte voraus
In den Bereichen IT und OT sieht die Realität jedoch völlig anders aus.
Tatsächlich können die meisten scanbasierten IT-Tools invasiv sein und haben in der Vergangenheit Unterbrechungen in den empfindlichen und proprietäreren OT-Systemen verursacht. Um scanbasierte Technologie in OT-Umgebungen nutzen zu können, müssen Sie das Scannen sorgfältig herunterskalieren, zusätzliche Zeit für die Überwachung von OT-Mitarbeitern aufwenden und das Scannen auf Offline-Systeme oder Zeiten geplanter Ausfälle beschränken. Wenn Sie all diese Bedingungen berücksichtigen, erhalten Sie am Ende eine minimale Sicherheitsabdeckung durch scanbasierte Sicherheitstools.
Um wirklich erfolgreich zu sein, benötigen Sie zuverlässige, OT-getestete Tools zur Profilerstellung und Datenerfassung, die die Anlagenabdeckung maximieren und Einblicke in die Anlagen automatisieren können, während der Betrieb sicher weiterläuft. Mit anderen Worten: Es ist wichtig, Sicherheitsmaßnahmen an die spezifischen Herausforderungen und Nuancen der OT anzupassen, anstatt sich auf Standard-IT-Ansätze zu verlassen, die in diesem Kontext möglicherweise nicht geeignet sind.
Best Practices der IT stören OT-Systeme
Eine gängige IT-Praxis zur Systemabsicherung besteht darin, dass die Endgeräte beim Systemstart ein Anmeldebanner anzeigen. Die Idee dahinter besteht darin, die Benutzer daran zu erinnern, dass sie an einem unternehmenseigenen oder kritischen System arbeiten. Die OT stellt jedoch eine Herausforderung dar, da diese Systeme eine 100-prozentige Betriebszeit gewährleisten müssen. Daher sind diese Anlagen häufig für einen automatischen Neustart und eine automatische Anmeldung konfiguriert, um Redundanz und eine kontinuierliche Überwachung von Sicherheitssystemen zu gewährleisten. Wenn Anmeldebanner eingeführt werden, unterbrechen sie den automatischen Anmeldeprozess für diese wichtigen OT-Systeme.
Lassen Sie uns dies anhand eines Beispiels für das Steuerungssystem einer Chemieanlage veranschaulichen. Dieses Steuerungssystem wurde für automatische Neustarts entwickelt. Das Anmeldebanner ist problematisch, da es das Routine-Update stoppt und verhindert, dass es auf gefährliche Druckänderungen reagiert.
Aus diesem Grund implementieren die meisten OT-Umgebungen nur etwa 40 bis 50 der 100 wichtigsten Sicherheitskontrollen, die in der CSC 20 beschrieben sind. Viele dieser Kontrollen werden entweder nicht eingesetzt oder können kritische Abläufe beeinträchtigen. Im Wesentlichen kann die Anpassung von Standard-IT-Sicherheitspraktiken an OT erhebliche Herausforderungen mit sich bringen und ist möglicherweise nicht immer für die besonderen Anforderungen von OT-Umgebungen geeignet.
Service Level Agreements (SLAs) in der OT sind anspruchsvoller als die in der IT
In typischen IT-Umgebungen erwarten Benutzer, dass Internet- und Mail- oder Dateiserver zur Verfügung stehen, wenn sie sich mit ihnen verbinden. Wenn ein Problem auftritt, können sie ihre Aufgaben in der Regel fortsetzen, während die IT das Problem löst und die Konnektivität wiederherstellt. Diese Ausfälle oder geplanten Wartungsfenster in der IT dauern in der Regel drei bis vier Stunden, während derer Endbenutzer möglicherweise keinen Zugriff auf das System oder den Service haben. In der OT kann ein Neustart oder die Fehlkonfiguration eines Schalters oder Kommunikationspunkts jedoch den sicheren Betrieb sofort unterbrechen.
In vielen Branchen kann diese Unterbrechung zu einem Verlust von Produktspezifikationen und Qualität führen. In kritischeren Fällen kann sie eine Sicherheitsgefahr darstellen, da es keine Transparenz über wichtige Parameter wie Druck, Durchfluss, Temperatur oder Geschwindigkeit gibt, was zu einer sofortigen Produktverschlechterung oder sogar zu einer vollständigen Abschaltung führt. Solche Produktionsunterbrechungen können sich erheblich auf den Umsatz auswirken. Dieses Problem wird in Branchen noch komplexer, in denen der Wiederanlauf der Produktion nicht so einfach ist wie das Ein- oder Ausschalten eines Förderbands.
Beispielsweise können kohlebefeuerte Kraftwerke nach einer Abschaltung 25 bis 30 Stunden benötigen, um die volle Kapazität zu erreichen. In Bereichen wie Raffination und Petrochemie kann es Stunden oder sogar Tage dauern, bis die richtigen Produktspezifikationen erreicht werden.
Ich erinnere mich an eine bestimmte Präsentation zur OT-Sicherheit für ein Betriebsunternehmen. Das Unternehmen hatte vor kurzem einen schwerwiegenden Cybervorfall in seinem Unternehmensnetzwerk erlitten, der zu erheblichen Schäden führte. Während meiner Präsentation äußerte das IT-Team zahlreiche Bedenken hinsichtlich potenzieller Sicherheitslücken, was nicht überraschend war, da kein Sicherheitssystem narrensicher ist. Sie versicherten mir, dass sie alles unter Kontrolle hatten, aber später stellte ich fest, dass das bedeutete, dass sie den Internetzugang für alle Betriebseinrichtungen unterbrochen hatten.
Ich äußerte die Befürchtung, dass die Betriebsleiter auf „Sneaker-Nets“ und USB-Sticks zurückgreifen könnten, um Daten, Updates und Dateien innerhalb und außerhalb des Betriebs zu übertragen. Sie glaubten nicht, dass ihre Werksleiter sich über die USB-Nutzungsrichtlinien hinwegsetzen würden. Als wir die Einrichtung jedoch später an diesem Tag besuchten, war der Schreibtisch des Werksleiters voll mit USB-Sticks. Ich fragte ihn, warum er die USB-Richtlinie des Unternehmens ignorierte, und er lächelte einfach und sagte: „Wie viel Probleme würde ich Ihrer Ansicht nach haben, wenn die Anlage nicht mehr produzieren würde? Ich bin mir ziemlich sicher, dass sie mir die USB-Nutzung nicht übelnehmen werden.“
Überbrückung der Kluft zwischen IT- und OT-Teams
Nachdem wir nun die drei Vorurteile behandelt haben, wollen wir uns mit den Lösungen befassen, die die Lücken schließen können. Die Abstimmung von IT- und OT-Teams erfordert ein besseres Verständnis der betrieblichen Prozesse und Vorschriften. Dies umfasst:
- Einführung von OT-Prozessen und -Maschinen in IT-Teams
- Verständnis der Cybersicherheitsmaßnahmen und Datenmanagementprotokolle der IT
- Einblick in die Compliance-Vorschriften der Bereiche IT und OT
- Zweiwöchentliche oder monatliche Sitzungen zur Besprechung von Herausforderungen und Maßnahmen
Nachdem Sie ein besseres Verständnis für beide Bereiche entwickelt haben, können Sie damit beginnen, Richtlinien und Verfahren für das OT-Systemmanagement (OTSM) zu entwickeln, die den Bedürfnissen beider Seiten gerecht werden. Wenn Sie keine IT-Standardpraxis für eine bestimmte Infrastruktur implementieren können, können Ihnen kompensierende Kontrollen dabei helfen, Sicherheit und Effizienz ins Gleichgewicht zu bringen.
Der nächste Schritt zur Überbrückung der IT/OT-Lücke besteht darin, Tools und Technologien zu finden, die für OTSM geeignet sind, sich aber auch in Ihre IT-Systeme integrieren lassen. Beispiele:
Ausgewogenheit zwischen Produktion und Schutz
Der Schutz Ihrer Infrastruktur und Produktion ist von entscheidender Bedeutung. IT-Lösungen einfach auf OT zu übertragen, kann fatale Folgen haben. Um wirklich erfolgreich zu sein, müssen Sie sich über die Unterschiede zwischen IT- und OT-Anforderungen informieren, Vorurteile in Bezug auf Philosophie, Projekte und Technologie angehen und eine Zusammenarbeit fördern, die die Kluft zwischen IT und OT beseitigt. Es ist von entscheidender Bedeutung, realistische Erwartungen zu haben, dass Sicherheitsverbesserungen nicht schnell und problemlos vonstattengehen werden. In dieser dynamischen Landschaft sind Ausdauer und die Verpflichtung, die OT-Sicherheit im Laufe der Zeit zu verbessern, entscheidend.
1 – https://www.ibm.com/reports/data-breach
