Die «smarte» Herausforderung

IoT ist omnipräsent und bietet (auch in der Energiebranche) immenses Potenzial – birgt aber auch Risiken. Schwachstellen in Geräten sind (leider) allgegenwärtig und die Zahl der Malware und Exploits steigt kontinuierlich. Trotzdem zählen IoT immer noch zu den am meist unterschätzten Bedrohungen der Cyber Security. Unterschiedlich hoher Schutzbedarf trifft dabei auf eine Vielzahl von Lösungsansätzen und Komponenten. Hier ist es ratsam, sich den unterschiedlichen Risiken und kritischen Schwachstellen bewusst zu werden. Daher braucht es ganzheitliche Ansätze, um Cyber Security im schnell wachsenden Internet der Dinge zu etablieren.

Smart – aber nicht ohne Risiken
IoT ist allgegenwärtig. Es wird geschätzt, dass in wenigen Jahren 8 von 10 Schweizer Unternehmen IoT-Komponenten im Einsatz haben werden. Damit dringt die Konnektivität in Bereiche vor, welche bislang voneinander unabhängig waren. Dadurch steigt aber auch die Gefahr, dass solche Systeme manipuliert werden. Diebstahl, Betrug, Erpressung und Manipulation sind mögliche Folgen. Mit dem Einsatz von Kryptowährungen als M2M Bezahlsystem wird das Angriffsrisiko zusätzlich erhöht – ohne, dass der User direkt involviert ist.

IoT hat unbestritten ein grosses Potenzial. Die Anzahl der Geräte, die mit Unternehmensnetzwerken verbunden sind, wird weiter ansteigen. IoT birgt aber auch ein (oft vernachlässigtes) Risiko: Cyberkriminalität. Die immer häufigeren IoT-basierten Hackerangriffe, zum Beispiel Mirai oder Botnet, oder auch Hacks von IoT-Geräten führen uns diese Risiken immer wieder vor Augen. Trotzdem finden grundlegende Sicherheitsprinzipien, die man schon seit Jahren als Best-Practice erachtet, oft den Weg nicht in den Entwicklungs-Zyklus solcher Geräte. Das Haar in der Suppe ist – einmal mehr – die Sicherheit. Wenn die Sicherheitsprobleme bei der Implementation von IoT nicht berücksichtigt und behoben werden, können die Geräte folglich viel Schaden verursachen. Beispielsweise durch Abfluss von Kunden- und Produktionsdaten, oder wenn der Wartungszugang zur Hintertüre eines Angreifers wird. Cyber Security sollte daher an erster Stelle stehen, denn mit ihr steht und fällt der Erfolg von IoT.

IoT als Herausforderung in der Energiebranche
Die Energiebranche zeigt sich vorbildlich, was Safety- und Verfügbarkeitsanforderungen angeht. Mit IoT entwickeln sich die Branchenlösungen jedoch in eine – in weiten Teilen – offene «OT-Welt» (Operational Technology), in der kritische Systeme nicht mehr isoliert sind. IoT ist zwar nichts Neues, aber die heutigen Möglichkeiten sind verlockend und eine Chance für den zukünftigen Geschäftserfolg. Bereits realisierte IoT-Projekte in der Schweiz zeigen dies eindrucksvoll auf. So steuern beispielsweise intelligente Systeme einen Park von Warmwasserboilern für die Bereitstellung von Regelenergie. Systeme automatisieren dabei ganze Meter-to-Cash-Prozesse oder komplexe Smart Grid-Komponenten übernehmen kritische Funktionen im Stromnetz. Dabei gilt es, nicht nur die Integrität und die Verfügbarkeit der einzelnen Systeme zu schützen, sondern auch die Daten. Der Business Case von IoT-Systemen liegt längst nicht mehr nur in der Automatisierung von Prozessen, sondern auch in der Individualisierung und Personalisierung von Energieprodukten und den dazugehörigen Dienstleistungen. Vertrauenswürdige Dienstleister müssen den Schutz dieser personenbezogenen Daten ernst nehmen. Umso mehr, weil die Daten in der Cloud bearbeitet und über unsichere Netze zwischen Objekten, Menschen und Services übertragen werden. Der Schutzbedarf von IoT-Projekten verlangt also Kompetenzen aus den beiden Welten IT und OT.

Risiken erkennen, bevor das Licht ausgeht
Aber in welcher Entwicklungsphase und mit welchen Massnahmen soll dieser Schutzbedarf in den IoT-Systemen angegangen werden? IoT-Projekte sind zwar keine komplexe Wissenschaft mehr, weisen jedoch trotzdem einige Besonderheiten auf: «Security by Design» heisst das Zauberwort. In der Realität ist dies aus Innovationssicht jedoch meist nur bei kritischen Projekten oder IoT-spezifischen Anforderungen möglich. Um den Schutzbedarf eines IoT-Projektes abschätzen zu können, bedarf es zu Beginn eine entsprechende Risikoanalyse. Dabei sind die Auswirkungen von Vorfällen im Kontext des Einsatzes der IoT-Systeme und Use Cases zu hinterfragen. Was heisst das nun für Sie konkret? Folgende Fragestellungen sollten Sie berücksichtigen:
– Hat ein Vorfall Auswirkungen auf kritische Services?
– Ist die Reputation des Unternehmens gefährdet?
– Entsteht ein finanzieller Schaden durch nicht erbrachte Dienstleistungen oder durch das Nichteinhalten von gesetzlichen Anforderungen?

Auf dieser Basis kann man die Kritikalität abschätzen und eine Herangehensweise ableiten. Dies kann bedeuten, dass «Security by Design» tatsächlich zwingend notwendig wird. Oder aber, dass erst einzelne Sicherheitsmassnahmen implementiert werden müssen. In IoT-Vorhaben mit höherem Schutzbedarf sollte im nächsten Schritt die Eintrittswahrscheinlichkeit von Vorfällen eruiert und Prioritäten abgeleitet werden. Dies gelingt durch eine Abschätzung der potentiellen organisatorischen und technischen Verletzbarkeiten im Gesamtsystem sowie für die einzelnen Komponenten. Danach gilt es, die IT Security sowie teilweise auch die physische Resilienz der einzelnen Komponenten zu untersuchen und zu testen. Aber auch die Kommunikation zwischen den Komponenten, die zentralen Datenverarbeitungssysteme und die Interaktion zwischen Anwender und Betreiber müssen berücksichtigt werden. Nicht zu vergessen ist zudem die Prüfung der Gesamtorganisation mitsamt den dazugehörigen Prozessen.

IoT als fester Bestandteil Ihrer Cyber Security
Cyber Security sollte deshalb bei IoT-Vorhaben ganz oben auf der Agenda stehen – nicht erst, wenn etwas schief gegangen ist. Wer sich mit IoT und Industrie 4.0 beschäftigt, muss sich zwingend auch mit dem Thema Sicherheit auseinandersetzen. Technologisch liegt der Schlüssel zur Sicherheit in einer geeigneten Architektur und der entsprechenden Zonierung bei IoT und Industrie 4.0-Netzwerken. Einer der wichtigsten Aspekte stellt dabei die Identität, die Authentisierung und der Schutz der Daten dar; ebenso die optimale Segmentierung im Backend der Umgebungen, Datenströme, Betriebsprozesse und Überwachung der so geschaffenen Zonenübergänge. So gilt es, verschiedene Verteidigungslinien (Lines of Defense) aufzubauen. Dabei muss jede Zone und jeder Zonenübergang mit entsprechenden Sicherheitsmassnahmen versehen werden. Hier gilt es, sich an den bewährten «Best-Practice»-Ansätzen zu orientieren. Vergessen Sie zudem nicht das regelmässige Update- und Patch-Management von IoT-Geräten.

IoT Security ist keine einmalige Angelegenheit, da sich die Risikosituation stetig ändert. Unternehmen müssen kontinuierlich die aktuelle Bedrohungslage beobachten und ihr Sicherheitsdispositiv – unter Berücksichtigung von neuen Bedrohungen und Schwachstellen – optimieren und kontinuierlich verbessern. Wichtige Elemente einer Security Governance beinhalten deshalb Risk Assessments, organisatorische Audits, System Security Testing, Penetration Tests und Vulnerability Scans. Unternehmen sollten zudem jederzeit in der Lage sein, Sicherheitsvorkommnisse erkennen zu können, schnell darauf zu reagieren und die Auswirkungen auf ein Minimum zu reduzieren. Sicherheit darf kein Thema sein, dem man sich irgendwann hinterher widmet – womöglich erst, wenn ein Vorfall eingetreten ist. Wer sich mit IoT und Industrie 4.0 beschäftigt, muss sich auch intensiv mit Cyber Defence auseinandersetzen.