VDE – Teil 3
Industrial Security - Stand der Normung und Risikominimierung
Fortsetzung des Artikels von Teil 1
Stand der Normung
Die Industrial Security ist eine relativ junge Disziplin. Viele Lösungen aus der allgemeinen Office-IT können nicht ohne weiteres oder überhaupt nicht eingesetzt werden. Beispielsweise können Patches nicht auf einen Produktionsrechner in der Frequenz eingespielt werden, wie sie in der Office-IT üblich ist, da alle möglichen Nebenwirkungen vor dem Aufspielen gründlich abgeklärt werden müssen. Die Ablaufzeit der Programme spielt hier eine entscheidende Rolle. Auch Virenscanner können das System verlangsamen und in seinem Zeitverhalten nicht mehr vorhersagbar machen. Zudem sollten nicht alle Bedienereingriffe die Eingabe eines Passwortes erfordern, um z.B. in Ausnahmesituationen schnell reagieren zu können.
Welche technischen Lösungen zur Erfüllung der IT-Sicherheits- anforderungen sich künftig in der Automatisierungstechnik durchsetzen werden, lässt sich zur Zeit noch nicht absehen. Angesichts dieser Ungewissheit konzentrierten sich die meisten Standardisierungs- bemühungen bis jetzt auf Verhaltens- normen für den Anlagenbetreiber. So wurde in der Normreihe IEC 62443 „Industrial communication networks - network and system security” als einer der ersten Standards der Teil 2-1 „Establishing an industrial automation and control system security program“ bereits 2010 als internationale Norm verabschiedet [1]. Der kürzlich überarbeitete Entwurf der Edition 2 wurde nun als Profile der in der Office-IT langjährig etablierten Normenreihe ISO/IEC 27000 [2] erstellt.
Es wurde erkannt, dass es wichtig ist, die Gemeinsamkeiten und Unterschiede der Managementsysteme im Büro und in der Produktion darzustellen, und dass grundsätzlich die gleichen wesentlichen Verfahrensschritte bestehen (PDCA-Zyklus):
- Plan: Managementsystem für die Industrial Security festlegen
- Do: implementieren und betreiben
- Check: Wirksamkeit prüfen und ggf. überarbeiten
- Act: aufrechterhalten und ggf. verbessern
Die vier Schritte müssen regelmäßig immer wieder durchlaufen werden, um ein Aufrechterhalten und die Aktualität des Managementsystems sicherzustellen (Bild 1).
Die Ausarbeitung der Normreihe IEC 62443 hat in den letzten drei Jahren deutlich an Geschwindigkeit aufgenommen. Es wurde vereinbart, dass die meisten Dokumente in den Komitees der ISA-99 erarbeitet werden und international nach den Prozeduren der IEC abgestimmt werden. Die Struktur wurde erweitert und schließt heute alle Seiten der Industrial Security ein (Bild 2).
Neben dem Managementsystem des Anlagenbetreibers werden auch die Prozeduren und Vorschriften des Lösungsanbieters adressiert sowie funktionale Anforderungen spezifiziert, die die Hersteller zukünftig in ihren Systemen und Geräten zu erfüllen haben. Eine Übernahme als europäische und deutsche Norm erfolgte bis jetzt nicht.
Damit zeichnet sich folgende Situation ab: Die Grundnormen über das Security Management System werden von ISO/IEC 27000 und 27001 gebildet; Sektor-spezifische Profile definieren die spezifischen Ausprägungen der Grundnormen. So ist geplant, dass der Teil 2-1 der IEC 62443 auch gleichzeitig als Profil für die Automatisierungstechnik mit einer noch zu definierenden Nummer aus der ISO/IEC-27000-Normenreihe geführt wird.
Der Stand der Ausarbeitung ist je nach den einzelnen Teilen der Normenreihe IEC 62443 unterschiedlich und in der Tabelle nachzulesen. Es sei darauf hingewiesen, dass wesentliche Teile auch im jetzigen Zustand für die Erstellung von Maßnahmen zum Schutz von Produktionsanlagen sehr hilfreich sind.
| Normungsteile | Stand der Ausarbeitung |
|---|---|
| Teil 1-1 | "Technical Specification" Ed. 1 bereits veröffentlicht (3).Ed.2 für 2013 geplant |
| Teil 1-2 | In Arbeit |
| Teil 1-3 | Veröffentlichung eines "Draft for Comment" im ersten Quartal 2013 geplant |
| Teil 2-1 | "International Standard" Ed. 1 bereits veröffentlicht (1).Ed. 2 als "Draft for Comment" im Oktober 2012 veröffentlicht. |
| Teil 2-3 | In Arbeit |
| Teil 2-4 | Veröffentlichung eines "Committee Draft" im ersten Quartal 2013 geplant |
| Teil 3-1 | "Technical Report" Ed. 1 bereits veröffentlicht [4]. |
| Teil 3-2 | In Arbeit |
| Teil 3-3 | Veröffentlichung eines "Final draft for international standard" (FDIS) im ersten Quartal 2013 geplant. |
| Teil 4-1 | Veröffentlichung eines "Draft for Comment" im ersten Quartal 2013 geplant. |
| Teil 4-2 | Veröffentlichung eines "Draft for Comment" im ersten Quartal 2013 geplant. |
Im Teil 2-1 der als Norm veröffentlichten Edition 1.0 sind bereits alle für einen Anlagenbetreiber relevanten Maßnahmen beschrieben. Mit der überarbeiteten Edition 2.0 wird zusätzlich sichergestellt, dass für eine Firma die gleiche Basis - die ISO/IEC-27000-Normenreihe - für ihre Prozeduren und Vorschriften im Bürobereich und in der Produktion gilt und somit im Einklang sind. Teil 2-1 beschreibt lediglich die Besonderheiten, die für den Betrieb der Automatisierungslösungen zu berücksichtigen sind.
Der Teil 3-3 wurde im Jahr 2012 einstimmig als „Committee Draft for Vote“ angenommen. Es ist zu erwarten, dass der in Kürze veröffentlichte FDIS (Final Draft International Standard) technisch unverändert angenommen wird. Damit kann sich ein Systemhersteller bei der Entwicklung der Security-Funktionen bereits heute an dem Dokument orientieren. Darin werden sogenannte Security Level (SL) spezifiziert. Diese sind an die vier möglichen Stufen der funktionalen Sicherheit, die sogenannten Safety Integrity Levels, kurz SIL, angelehnt, siehe Teil 2 dieser Artikelserie. Das Konzept des sogenannten SL Vector ermöglicht, die Security-Anforderung an ein System in ihrer Wirkung zu differenzieren.
Weitere Dokumente, die das Gesamtbild abrunden, werden in Kürze veröffentlicht:
- Teil 2-4 spezifiziert die Anforderungen an die Prozesse und Richtlinien des Lösungsanbieters (Systeminte-grator oder Anlagenbauer). Das Dokument basiert auf der bereits veröffentlichten Spezifikation „Process control domain - Security requirements for vendors“ V 2.0 [5], so dass zu erwarten ist, dass die Inhalte bereits heute schon relativ stabil sind.
- Teil 4-1 spezifiziert die Anforderungen an den Entwicklungsprozess von Geräten und Systemen. Das Dokument lehnt sich stark an die im zweiten dieser Artikelserie erwähnte DIN EN 61508-3 (VDE 0803-3) und an die Spezifikation „Software Development Assessment Specification“ [6] des ISA Security Compliance Insti-tute. Auch hier ist wegen der umfangreichen Vorarbeiten zu -erwarten, dass der Inhalt sich nicht wesentlich ändern wird.
- Industrial Security - Stand der Normung und Risikominimierung
- Stand der Normung
- Risikominimierung und Modelle
- Defense in Depth
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
PES
Funktionale Sicherheit in verteilten Embedded-Systemen
VDE – Teil 1
Die Sicherheit eingebetteter Systeme
VDE – Teil 2
Modelle der funktionalen Sicherheit
