Industrial Security: Bundesverband IT-Sicherheit e.V. (TeleTrusT) veröffentlicht Use Cases für die Anwendung der IEC 62443-4-2

https://www.teletrust.de/publikationen/teletrust-iec-62443-4-2/

Informationstechnik und klassische Automatisierungstechnik verschmelzen immer mehr. Dabei werden an die Security-Mechanismen in der Automatisierungstechnik andere Anforderungen gestellt als in der IT-Welt, besonders hinsichtlich Updatemöglichkeiten, Echtzeitfähigkeit und heterogene Hardwareumgebungen. Zentrale Norm ist dabei IEC 62443. Die Norm besteht aus mehreren Teilen und soll alle IT-sicherheitsrelevanten Aspekte der industriellen Automatisierungstechnik abdecken. Der Normteil IEC 62443-4-2 wirft in der Praxis immer wieder Fragen auf. Dabei geht es insbesondere um die Spezifizierung und später auch Zertifizierung von Komponenten und Geräten, die in der Steuerungs- und Automatisierungstechnik eingesetzt werden. Auch die Frage nach dem richtigen IT-Sicherheits-Level solcher Produkte stellt sich regelmäßig bei der Anwendung der Norm.

Die Norm ist einerseits für Systemintegratoren, Maschinenbauer und Anlagenbetreiber wichtig, die die Security-Aspekte ihrer Anwendungen betrachten müssen, andererseits auch für Gerätehersteller, die Router, Gateways und andere Komponenten für die Automatisierungsindustrie entwickeln.

Einige Anwender nutzen die vereinfachte Sicht auf die (vier) Security Level, um Security-Anforderungen zu beurteilen. Dieser eher allgemeine Ansatz führt in der Praxis kaum zu Antworten, die alle Aspekte einer Anwendung abdecken. Ein anderer Ansatz ist eine Risikoanalyse auf Systemebene. Damit lassen sich die Security-Anforderungen zwar exakt beschreiben, jedoch nicht so allgemeingültig, dass sie sich einfach auf weitere Anwendungen übertragen lassen. Um dieses Dilemma zu lösen, hat die TeleTrusT-Arbeitsgruppe "Smart Grids/Industrial Security" IEC 62443 Component Use Cases formuliert, die beide oben genannten Ansätze berücksichtigen.

Im ersten Schritt werden die Funktionalität und der Verwendungszweck der Komponente festgelegt. Anschließend wird die Anwendung und das Einsatzumfeld betrachtet, um daraus die Security-Anforderungen entsprechend IEC 62443-4-2 abzuleiten. Das erfolgt aus zwei Blickrichtungen: aus Security Level-Sicht und aus Sicht der Applikation. Abschließend werden im Use Case konkrete Punkte und Schritte festgelegt, wie der Test der fertigen Lösung im Rahmen der internen Qualitätssicherung auszusehen hat.

Um die praktische Anwendung zu vereinfachen, wurden die Use Cases nicht abstrakt entwickelt, sondern anhand zweier konkreter Beispiele: Industrial Firewall und Security Gateway. Die beiden Use Cases unterscheiden sich dadurch, dass bei dem Use Case Industrial Firewall auf die praktischen Erfahrungen mit bestehenden Produkten aufgebaut werden kann, während beim Use Case Security Gateway aufgrund der neuen Anwendungsfelder und Produkte noch kaum Erfahrungswerte vorliegen.