IEC 62443: Die internationale Normenreihe für Cybersecurity in der Industrieautomatisierung

Die Anfänge der internationalen Normenreihe IEC 62443 sind etwa 20 Jahre alt und gehen auf die International Society for Automation (ISA) zurück. Die zugehörigen Standards, Technischen Reports sowie verwandten Informationen definieren Verfahren zur Implementierung sicherer industrieller Automatisierungs- und Steuerungssysteme (IACS).

Ursprünglich wurden diese Dokumente als ANSI/ISA-99 oder ISA99-Standards veröffentlicht. Aufgrund der Kooperation mit IEC erfolgte die Anpassung der Dokumentnummerierung (ANSI/ISA-62443) an die entsprechenden Normen der IEC. International erfolgt die Arbeit im Expertengremium IEC/TC 65 in der AG 10 (IEC/TC 65/WG 10). National wird die Arbeit im Spiegelgremium DKE/UK 931.1 unterstützt.

VDE DKE Tagung Industrial Security 2023

Vom 12. bis 13. Juni 2023 fand die erste VDE DKE Tagung Industrial Security statt. Mehr als 100 interessierte Teilnehmende kamen zur Veranstaltung in die Manufaktur in Mannheim. Diskutiert wurde unter anderem der aktuelle Stand zur internationalen Normenreihe IEC 62443 sowie der anstehende EU Cyber Resilience Act und seine Auswirkungen auf betroffene Unternehmen.

Die IEC-Normenreihe 62443 hat ihren Ursprung in der Automatisierungstechnik der Prozessindustrie, deckt mit ihrem Anwendungsbereich aber alle Industriebereiche und die kritischen Infrastrukturen (KRITIS) ab. Sie befasst sich mit der Cybersecurity sogenannter ,,Industrial Automation and Control Systems“ (IACS). Der Begriff IACS beschreibt alle Bestandteile, die für den zuverlässigen und sicheren Betrieb einer automatisierten Produktionsanlage erforderlich sind. Dazu gehören sowohl Hardware- als auch Softwarekomponenten. Des Weiteren schließen IACS die organisatorischen Prozesse für die Errichtung und den Betrieb mit ein.

Ziel ist es, Normen, Verfahren, technische Reports und zusätzliche Informationen zur Verfügung zu stellen, die Prozesse für eine sichere Implementierung von IACS definieren. Dies soll eine Hilfestellung für alle darstellen, die für Design, Implementierung, Management, Herstellung und Betrieb von IACS verantwortlich sind. Auch sollen Anwender, Integratoren, Hersteller und Verkäufer adressiert werden.

Im Fokus der IEC 62443 steht die Verbesserung der Integrität und Verfügbarkeit von Komponenten und Systemen und das zur Verfügung stellen von Kriterien zur sicheren Bereitstellung und Implementierung von IACS. Die Einhaltung dieser Leitfäden soll die Sicherheit in der Produktion und der Komponenten sowie Systeme verbessern und dabei helfen, Schwachstellen zu identifizieren und zu adressieren. Damit kann das Risiko von kompromittierten Informationen oder Produktionsausfällen stark reduziert werden.

Die IEC-Normenreihe 62443 kann grundsätzlich in vier Bereiche eingeteilt werden, die jeweils mehrere Dokumente beinhalten:

• Der erste Bereich beschreibt beispielsweise Grundkonzepte wie Defense-in-Depth oder auch grundlegende Anforderungen und verweist für die konkrete Umsetzung auf weitere Normteile.
• Der zweite Bereich definiert Leitlinien und Leitfäden für die Umsetzung von organisatorischen Maßnahmen und gibt beispielsweise Empfehlungen für ein Patch-Management.
• Der dritte Bereich behandelt technische Aspekt wie Securitylevel und Sicherheitsanforderungen.
• Der vierte Bereich zielt speziell auf die Produkt- und Komponentensicht (Sensoren, Schnittstellen, Chips etc.) ab und richtet sich aus diesem Grund eher an Hersteller.
• Der fünfte Bereich beschreibt Profile, die die Anwendung der Norm in verschiedenen Domänen, beispielsweise Industrieautomation, Prozessindustrie, Medizin- oder Bahntechnik, unterstützen.
• Der sechste Bereich spezifiziert Konformitätskriterien sowie mögliche Konformitätsnachweise. Es werden keine neuen Anforderungen aufgestellt, sondern beschrieben, wie Konformität gegenüber Anforderungen aus der Norm IEC 62443 evaluiert werden kann.

Die nachfolgende Abbildung zeigt die verschiedenen Bereiche mit den dazugehörigen Normenteilen und Spezifikationen.

Information Technology (IT) kommt aus dem klassischen Geschäftsumfeld und beschreibt das Verwalten von Informationen. Hierzu gehören sowohl verschiedene Server-Arten (Web- und Mail-Server) als auch Managementsysteme wie beispielweise ein Informationssicherheitsmanagementsystem (ISMS). Das oberste Schutzziel in der IT ist die Vertraulichkeit.

Im Gegensatz zur IT befasst sich die Operational Technology (OT) mit dem Verwalten von physikalischen Prozessen wie industriellen Kontrollsystemen, Steuerungen, Sensoren und Embedded Systems. Höchste Priorität bei den Schutzzielen ist es, die Verfügbarkeit und Integrität der Anlage zu sicherzustellen. Damit soll einerseits ein Stillstand der Anlage – und ein möglicher Verlust in Millionenhöhe für den Betreiber – vermieden und zum anderen die funktionale Sicherheit der Anlage sichergestellt werden.

Ein weiterer Unterschied zwischen IT und OT ist unter anderem der Ursprung in der Forschung und Entwicklung: Während sich die IT eher auf die Informatik und Computerwissenschaft stützt, lehnt sich die OT hingegen weitestgehend an die Ingenieurswissenschaften an. Auch im Lebenszyklus der eingesetzten Hardware gibt es wesentliche Unterschiede: Die Lebensdauer von IT-Hardware beträgt in etwa drei Jahre – in der OT sind 30 Jahre jedoch keine Seltenheit.

Häufig kommt in diesem Kontext die Frage auf, ob und wie die beiden Normenreihen ISO/IEC 27000 und IEC 62443 im Zusammenhang stehen. ISO/IEC 27000 beschreibt organisatorische Anforderungen an Managementsysteme im IT-Umfeld. Dabei dreht sich alles um die Frage, wie ein Unternehmen aufgebaut werden muss, um die IT-Sicherheit in der Kommunikation sicherzustellen. Beide Normenreihen unterscheiden sich hinsichtlich ihres individuellen Anwendungsbereichs, schließen sich jedoch nicht aus. Industrieunternehmen können und sollten daher beide Bereiche abdecken – die IT für das Verwalten von Informationen und die OT für das Verwalten von physikalischen Prozessen in Anlagen.

Guideline Industrial Security: IEC 62443 is easy (Englisch; eBook)

Die Bedeutung von Schutzkonzepten wächst mit zunehmenden Angriffen von außen. Betreiber kritischer Infrastrukturen müssen Mindeststandards der IT-Sicherheit einhalten und ihre Anlagen vor Cyberangriffen schützen. Wirksame Schutzkonzepte lassen sich jedoch nur mit einer Reihe von organisatorischen und technischen Maßnahmen umsetzen.

Der Leitfaden hat das Ziel, den Ansatz für den Einsatz von Schutzkonzepten zu vereinfachen, indem er einen Überblick über die Normenreihe IEC 62443 gibt, die Ideen und Konzepte zusammenfasst sowie praktische Lösungen aufzeigt.

Als erste Schale und Grundvoraussetzung für alle nachfolgenden Schalen gilt, die Mitarbeiter für die Gefahren von Cyberangriffen zu sensibilisieren. Dazu gehören entsprechende Schulungen, aber auch klare Strukturen in der Organisation mit Rollen und Rechten. Neben diesen organisatorischen Maßnahmen, zählen auch der physische Schutz der Anlage sowie eine Zugangskontrolle zu den Grundvoraussetzungen für eine gestaffelte Verteidigung. Grundsätzlich ist es die Aufgabe des Betreibers, diese Maßnahmen umzusetzen.

Verteidigungsschalen, die der Integrator umsetzt, befinden sich auf der Netzwerk- oder Systemebene. Dazu zählen Maßnahmen, wie beispielsweise die Auslegung von „Zones und Conduits“, um geschützte Bereiche zu schaffen oder einen Zugriffsschutz mit Passwörtern zu installieren.

In der inneren Verteidigungsschale sind die Geräte und Komponenten von Bedeutung. Sicherheitsfunktionen gehören zu den Maßnahmen ebenso der kritische Blick auf den Entwicklungsprozess, in dem zum Beispiel Risikoanalysen, Programmierrichtlinien und Codeanalysen durchgeführt werden. Diese Verteidigungsschale ist dem Hersteller zuzuordnen.

Bei Defense-in-Depth handelt es sich jedoch weder um ein vollkommen neues Konzept noch um eines, welches speziell im Rahmen der Normenreihe IEC 62443 erarbeitet wurde. Als anschauliches Beispiel dient hierfür häufig das Bild einer mittelalterlichen Burg: Sie besteht aus einem tiefen Burggraben, einem schweren Burgtor und massiven Burgmauern. Ein Angreifer müsste also mehrere Schutzmaßnahmen überwinden, um die Burg einnehmen zu können.

Für eine industrielle Anlage gilt das analog: Auch hier sollte ein mehrschichtiges Konzept mit physischen und physikalischen Möglichkeiten erarbeitet werden, um die Anlage vor Angriffen zu schützen.

Mit unserem DKE Newsletter sind Sie immer top informiert! Monatlich ...

• fassen wir die wichtigsten Entwicklungen in der Normung kurz zusammen
• berichten wir über aktuelle Arbeitsergebnisse, Publikationen und Entwürfe
• informieren wir Sie bereits frühzeitig über zukünftige Veranstaltungen

Das Konzept der Securitylevel wurde entworfen, um einen qualitativen Ansatz zur Bestimmung des Schutzes einer Zone oder eines Conduits zur Verfügung zu haben. Im Rahmen des ganzheitlichen Defense-in-Depth-Ansatzes stellen Securitylevel somit ein Hilfsmittel dar, mit denen sich das Sicherheitskonzept der „gestaffelten Verteidigung“ umsetzen lässt. Herstellern von Komponenten und Anlagenbetreibern soll ein Tool mit an die Hand gegeben werden, das es ihm ermöglicht, einschätzen zu können, wie hoch die Sicherheitsanforderungen an die Komponenten der Anlage sein sollten – angefangen bei Level 1 und ganz rudimentären Anforderungen bis hin zu Level 4 mit Schutzmaßnahmen für beispielsweise staatliche Institutionen. Die Spannweite dazwischen ist sehr groß und hängt stark von den finanziellen Mitteln ab, die für eine Umsetzung der Sicherheitsmaßnahmen zur Verfügung stehen.

Folgende vier Einstufungen der Securitylevel werden vorgenommen:

• Securitylevel 1: Schutz gegen ungewollte, zufällige Angriffe
• Securitylevel 2: Schutz gegen gewollte Angriffe mit einfachen Mitteln, niedrigem Aufwand, allgemeiner Expertise und niedriger Motivation
• Securitylevel 3: Schutz gegen gewollte Angriffe mit fortgeschrittenen Mitteln, mittlerem Aufwand, spezifischer Expertise und mittlerer Motivation
• Securitylevel 4: Schutz gegen gewollte Angriffe mit fortgeschrittenen Mitteln, erheblichem Aufwand, spezifischer Expertise und hoher Motivation

Das Securitylevel einer Anlage legt der Betreiber fest. Die unspezifischen Begriffe „niedrig“, „mittel“ etc. müssen ebenfalls vom Betreiber für den jeweiligen Betrachtungsgegenstand definiert werden.

Dem vorgelagert ist ein weiteres Konzept, nämlich das der Risiko- und Bedrohungsanalyse und. Ein Betreiber muss sich mit den Fragen auseinandersetzen, welchen Bedrohungen seine Anlage ausgesetzt sein kann und auf welchem Security er sich auf Grundlage der Bedrohungs- und Risikoanalyse befindet.

Redaktioneller Hinweis:

Die im Text aufgeführten Normen und den vorgestellten Leitfaden können Sie beim VDE VERLAG erwerben.

Industry befasst sich mit Systemen und Produkten aus dem industriellen Bereich. Zentrales Thema ist beispielsweise zunehmend die Automation, da es in Zukunft verstärkt zu einem intelligenten Austausch zwischen Maschinen und Objekten kommt. Weitere Inhalte zu diesem und anderen industriellen Fachgebieten finden Sie im