Ist Ihre Netzwerkinfrastruktur beabsichtigt oder unbeabsichtigt?
Denken Sie einmal darüber nach. Wie gewährleisten Sie den Datenaustausch zwischen unterschiedlichen Systemen?
Am einfachsten ist es natürlich, wenn alle Systeme mit dem gleichen Netzwerk verbunden sind. Und das ist gar keine ungewöhnliche Praxis.
Aus Gründen der Bequemlichkeit entscheidet sich ein Unternehmen vielleicht für ein flaches, unsegmentiertes Netzwerk, in dem Informationen frei ausgetauscht werden können. Häufig ist ein unsegmentiertes Netzwerk das unbeabsichtigte Ergebnis einer veralteten Infrastruktur, die im Laufe der Zeit ohne Einsatz von VLANs, Firewalls und anderen Schutzmechanismen erweitert wurde.
Das Problem mit unsegmentierten Netzwerken
Was auch immer der Grund dafür war, ein unsegmentiertes Netzwerk mag einfachen Zugriff und Datenaustausch ermöglichen – aber der Preis dafür ist hoch.
Zunächst einmal setzt eine flache, unsegmentierte Netzwerkinfrastruktur sowohl unkritische als auch kritische Daten gleichermaßen einem Cyber-Sicherheitsrisiko aus. Ohne Netzwerkgrenzen oder Zugangsbeschränkungen können Angreifer die verwundbarsten Eintrittspunkte ausnutzen und tiefer in das Netzwerk oder alle Komponenten, die damit verbunden sind, eindringen.
Damit sind sämtliche Inhalte gefährdet: von Fertigungsdaten und Rezepturen bis hin zu Daten aus klinischen Studien, Preiskalkulationen und Marketingstrategien.
Darüber hinaus ist ein unsegmentiertes Netzwerk in der Regel ein ineffizientes Netzwerk. Es kann passieren, dass Probleme mit der Netzwerk-Performance anfangs gar nicht bemerkt werden, solange der Betrieb noch läuft. Werden jedoch Systeme aktualisiert und neue Funktionen hinzugefügt, nimmt der Netzwerkverkehr zu, es kommt häufiger zu Netzwerkkollisionen und Verlangsamungen – und die ersten Produktionsprobleme treten auf.
Haben Sie oder jemand, den Sie kennen, schon einmal Daten... oder den Überblick über Ihr System verloren? Das kommt vor.
Im Rahmen einer Defense-in-Depth-Strategie kann durch Netzwerksegmentierung – oder durch die Aufteilung eines Netzwerks in kleinere Netzwerke – erreicht werden, dass unnötiger Broadcast-Verkehr vermieden wird und einem Angreifer nur begrenzte Daten zur Verfügung stehen.
Segmentierung in Ihr System einbauen
Haben Sie bei der Planung Ihres Automatisierungssystems den Aufbau und die Leistung des Netzwerks berücksichtigt? Und wie gehen Sie bei der Segmentierung vor, um die Auswirkungen eines potenziellen Angriffs zu begrenzen und die Netzwerkleistung zu verbessern?
Ich habe die Erfahrung gemacht, dass die meisten Life-Science-Unternehmen ihre Produktionsprozesse sehr erfolgreich steuern. Aber viele erkennen einfach nicht, wie sich die von ihnen gewählten Optionen auf die Netzwerkinfrastruktur auswirken. Folglich kann es passieren, dass sie sich nicht über den Umfang der Inhalte und die Datenverkehrsmuster in ihrer bestehenden Infrastruktur im Klaren sind – und damit auch nicht über mögliche Risiken und Leistungseinschränkungen.
Ein Systemaudit kann Ihnen helfen, ein besseres Verständnis dafür zu bekommen, welche Inhalte in Ihrem System enthalten sind, wie die Geräte kommunizieren und auf welchem Weg die Daten übertragen werden. In einem ersten Schritt liefert Ihnen ein Systemaudit grundlegende Informationen, die Sie benötigen, um potenzielle Risiken zu erkennen und Leistungsverbesserungen einzuschätzen.
Nach Abschluss eines Audits ist die Durchführung einer Risikobewertung gemäß IEC 62443 ein branchenweit bewährtes Verfahren, um Sie auf den richtigen Weg zu einem optimierten Netzwerkdesign und einer besseren Segmentierung zu bringen.
Die internationale Normenreihe IEC 62443 bietet einen flexiblen Rahmen zur Behebung und Minderung aktueller und zukünftiger Sicherheitslücken in industriellen Automatisierungs- und Steuerungssystemen (IACS). Insbesondere die Norm IEC 62443-3-2 beinhaltet Richtlinien zur Risikobewertung.
Eine Risikobewertung liefert Ihnen einen Überblick über Ihre aktuelle Sicherheitslage und gibt Hinweise zu notwendigen Maßnahmen für einen akzeptablen Risikostatus.
Sie werden zweifelsohne feststellen, dass verschiedene Bereiche in Ihrem System unterschiedliche Sicherheitsanforderungen haben. Die Risikobewertung hilft Ihnen, sinnvolle Entscheidungen zu treffen: erstens zu den Risiken, die Sie bei der Implementierung neuer Technologien bereit sind einzugehen, und zweitens zur logischen Segmentierung Ihres Netzwerks mit dem Ziel, sowohl Sicherheits- als auch Produktivitätsziele zu erreichen.
Je nach Ihren Anforderungen können Sie mehrere Segmentierungsmethoden wählen, einschließlich Zugangskontrolllisten, Firewalls, VLANS, industrielle Demilitarized Zones (IDMZ) und andere Technologien.
Sicherung Ihrer vernetzten Anlage
Bedenken Sie, dass die Netzwerksegmentierung nur eine von vielen Methoden ist, die im Rahmen einer Defense-in-Depth-Strategie für die Cyber-Sicherheit empfohlen werden. Eine effektive Strategie umfasst mehrere Schutzebenen, die von so einfachen physischen Sicherheitsvorrichtungen wie Türen bis hin zu ausgefeilten elektronischen und verfahrenstechnischen Schutzvorkehrungen reichen.
Eine effektive Strategie zeichnet sich zudem durch einen fortlaufenden Prozess aus, der nicht nur ein durchdachtes Design, sondern auch aktives Eingreifen – und Wartung – erfordert.
Erfahren Sie, wie Rockwell Automation Sie dabei unterstützen kann, Ihr System in Übereinstimmung mit den IEC 62443-Richtlinien zu entwerfen und zu warten. Und informieren Sie sich über unsere neuesten IEC 62443-Zertifizierungen.
