Fünf-Stufen-Plan für die IT-Sicherheit in der Produktion

Die Schlagzeilen rund um IT-Sicherheitsvorfälle mehren sich und in den meisten Unternehmen besteht Handlungsbedarf in Hinblick auf IT-Sicherheit. Der amerikanische IT-Dienstleister Kaseya, bei dem eine Schadstoffsoftware installiert wurde, so dass zahlreiche Kundendaten betroffen waren, wird nicht das letzte Beispiel sein. Der Digitalverband Bitkom hat in einer repräsentativen Studie herausgefunden, dass Cyberangriffe die deutsche Wirtschaft pro Jahr über 200 Milliarden Euro kosten. Was könnten die Gründe hierfür sein?

OTRS-Studie: Über die Hälfte der Unternehmen sind nicht ideal vorbereitet / Mangelnde IT-Sicherheit auch in der Produktion

In einer aktuellen Studie unter 500 Sicherheitsverantwortlichen hat die OTRS Group herausgefunden, dass nur 56 Prozent der IT-Sicherheitsteams optimal auf einen Sicherheitsvorfall vorbereitet sind. Zwei Prozent geben sogar an, nicht ausreichend vorbereitet zu sein.

Bei der Frage, ob Verantwortlichkeiten und Aufgaben im Falle eines Sicherheitsvorfalls klar definiert sind, stimmte die große Mehrheit (93 Prozent) zu. Sechs Prozent sind allerdings der Meinung sind, dass dies nicht der Fall ist. Angesichts der Ausmaße eines Sicherheitsvorfalls ist das eine alarmierende Zahl. Grundsätzlich würden sich 15 Prozent der befragten IT-Sicherheitsteams mehr Aufmerksamkeit für ihr Thema im Unternehmen wünschen – gerade in Hinblick auf die fortschreitende Digitalisierung.

Produzierender Sektor: Über ein Drittel berichtet von Produktionsausfällen aufgrund von IT-Sicherheitsangriffen

Auch der Produktionssektor bleibt von IT-Sicherheitsangriffen nicht verschont, sondern verzeichnet einen deutlichen Anstieg der Angriffe auf Produktionsanlagen. Der VDMA (Verband Deutscher Maschinen- und Anlagenbau) hat in einer Umfrage herausgefunden, dass über ein Drittel der befragten Mitglieder von Produktionsausfällen berichtet und mehr als die Hälfte der Firmen Kapitalschäden aufgrund von Hackerangriffen beklagt.

Weil künftig die Mehrzahl der Maschinen an das Internet angeschlossen sein wird, stehen alle Beteiligten – Maschinenhersteller, Komponentenlieferanten, Maschinenbetreiber und ggf. auch Dienstleister – vor ganz neuen Herausforderungen, um IT-Sicherheit in der Industrie zu gewährleisten. Da Produktionsanlagen und Maschinen an interne Systeme zur Produktionssteuerung angebunden sind und Prozesse immer mehr in die Cloud ausgelagert sind, steigt das Risiko für Malware und Cyberangriffe.

Fünf-Stufen-Plan zum Schutz KRITISCHER Infrastrukturen (KRITIS)

Zu großen Teilen zählt der produzierende Sektor zu den sogenannten Kritischen Infrastrukturen (KRITIS). Kritische Infrastrukturen sind Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. Für diese Bereiche gelten verschärfte Sicherheitsmaßnahmen.

Um maximale IT-Sicherheit zu gewährleisten und Cyber-Angriffe auch im Nachhinein adäquat zu evaluieren, empfehle ich den folgenden Fünf-Phasen-Plan zum Schutz KRITISCHER Infrastrukturen.

Phase 1: Vorbereitung zur Einrichtung eines Krisenmanagements

Im Vorfeld zum Auf- oder Ausbau eines Krisenmanagements sollten einige Grundsätze vereinbart werden. Dazu zählen zum Beispiel die Festlegung von Zuständigkeiten, die Bereitstellung von Ressourcen für die Etablierung sowie die Formulierung von Schutzzielen für die Einrichtung.

Bei der Planung eines Krisenmanagements kann ein ISMS (Information Security Management System) sehr hilfreich sein. Damit erfolgt eine durchgängige, transparente und revisionssichere Dokumentation strukturierter Abläufe nach ISO/IEC 27001. Die Zeitersparnis eines guten durchstrukturierten ISMS liegt bei 30-40 Prozent.

Phase 2: Risikoanalyse

Bei der zweiten Phase, der Risikoanalyse, geht es darum, potenzielle Risiken in Einrichtungen zu evaluieren. Dabei sollten folgende Fragen beantwortet werden können.

• Welche Arten von Gefahren können auftreten?
• Mit welcher Wahrscheinlichkeit treten diese Gefahren an den Standorten der Einrichtung auf?
• Welche Schwachstellen sind vorhanden, die die Einrichtung hinsichtlich einer Gefahreneinwirkung anfällig machen?
• Mit welchem Schaden ist bei Eintritt unterschiedlicher Gefahren zu rechnen?
• Welche Auswirkungen für die Funktionsfähigkeit der Einrichtung hat ein Ausfall von Prozessen aufgrund der Gefahreneinwirkung?

Phase 3: Beschreibung vorbeugender Maßnahmen

In der dritten Phase sollten Schutzmaßnahmen identifiziert und abgewogen werden. Dies kann zum Beispiel die Einrichtung einer Firewall sein, Sicherheitsschulungen für Mitarbeiter oder eine Lösung wie STORM, die Security Prozesse für eine effektive Reaktion auf Angriffe bietet. Eine Kosten-Nutzen-Analyse ist an dieser Stelle sinnvoll.

Phase 4: Aufbau eines Krisenmanagements

Krisen, die trotz Prävention nicht verhindert werden können, sollten von einem professionellen Krisenmanagement-Team bewältigt werden.

Die wichtigsten Aufgaben eines Krisenmanagements sind:

• die besten konzeptionellen, organisatorischen und verfahrensmäßigen Voraussetzungen zu schaffen, um die Krise bestmöglich zu bewältigen
• spezielle Strukturen zur Reaktion im Krisenfall zu etablieren, insbesondere die Einrichtung eines Krisenstabes

Phase 5: Regelmäßige Evaluierung

Situationen und Rahmenbedingungen können sich immer wieder verändern, deshalb sollte eine Evaluierung der Prozesse regelmäßig – am besten jährlich – erfolgen.
Eine unserer Umfragen unter 280 IT-Verantwortlichen hat gezeigt, dass die Mehrheit der Befragten (61 Prozent) wöchentlich oder öfter einen Sicherheitsvorfall verzeichnet. Zum einen ist das eine hohe Frequenz, zum anderen werden auch die Methoden der Hacker immer ausgefeilter. Deshalb ist eine kontinuierliche Ausweitung der Sicherheitsarchitektur wichtig.

Im produzierenden Sektor können die Folgen unter Umständen noch gravierender sein als in anderen Sektoren. Deshalb möchte ich nochmal besonders auf eine umfassende Prävention und Vorbereitung hinsichtlich möglicher Sicherheitsattacken aufmerksam machen. So stärken wir auch das öffentliche Vertrauen in das Thema Digitalisierung, denn seit Ausbruch der Pandemie und der verstärkten mobilen Arbeit führt kein Weg mehr an der Digitalen Transformation vorbei.

Bei weiteren Fragen oder Ratschlägen zum Thema Sicherheit stehe ich Ihnen gern auch persönlich zur Verfügung.