Security als elementarer Bestandteil
Bild 3: Je nach installierten Geräten und tatsächlichem Anwendungsfall bietet Siemens verschiedene Möglichkeiten zur einfachen Cloudanbindung (Quelle: Siemens)
Bei allen cloudbasierten Systemen werden Daten in unternehmenseigenen oder sogar öffentlichen Netzen übertragen. Daher sollte die Datensicherheit (Security) immer auch Bestandteil des Gesamtkonzepts sein. Die Datenübertragung in die Mindsphere erfolgt deshalb zertifikatsbasiert verschlüsselt.
Besondere Aufmerksamkeit sollte zudem der eigentlichen Anbindung der Automatisierungszelle oder Anlage geschenkt werden. Da für den Cloudbetrieb eine Verbindung mit dem übergeordneten Netzwerk notwendig ist, gibt es immer einen potenziellen Zugangspunkt für Angreifer. Dabei hängt die Schwere der potenziellen Bedrohung vom übergeordneten Netzwerk und seinen Schutzmaßnahmen ab. In vielen Fällen ist allerdings ein zusätzlicher Schutzmechanismus in der Zelle sinnvoll, unter anderem weil dann die Zugriffsberechtigung unabhängig von übergeordneten Mechanismen kontrolliert werden kann. Auch hier bietet Siemens zwei unterschiedliche Schutzkonzepte: Zum Beispiel eines mit separater Hardware wie die Industrial Security Appliance Scalance SC632-2C für die Anbindung über das vorhandene Unternehmensnetzwerk. Oder ein WAN-Router für die leitungsgebundene oder drahtlose Kommunikation über Mobilfunknetze, beispielsweise ein Scalance M874-4 über LTE. In beiden Fällen fungiert das Scalance-Gerät auch als konfigurierbare Firewall. Bei entsprechender Einrichtung kann auf alle Geräte im untergeordneten Netzwerk IP-basiert zugegriffen werden.
Interne und externe Lösung optimal abgesichert
Bei der integrierten Lösung mit Simatic S7-1500 bietet der Kommunikationsprozessor Simatic CP 1545-1 nicht nur eine separate Netzwerkverbindung, sondern auch eine eingebaute Firewall. Der Betriebsstatus des Kommunikationsprozessors hat keine Auswirkung auf die eigentliche Steuerung. Selbst im Fall einer von außen geführten Attacke mit der Absicht, den Dienst zu blockieren (Denial of Service), die die Funktion des Kommunikationsprozessors beeinträchtigt, arbeitet die Steuerung ungestört weiter. Bei dieser Lösung ist stets eine Netztrennung realisiert: Die Steuerung ist vom übergeordneten Netzwerk aus erreichbar, aber der Zugriff auf untergeordnete Geräte ist gesperrt, weil kein IP-Routing stattfindet.
Kurz gesagt: Mit dem Kommunikationsprozessor
CP 1545-1 kann eine für die individuellen Anforderungen der Anlage maßgeschneiderte Cloudanbindung implementiert werden. Für die Verarbeitung der Daten sind alle von der Simatic S7-1500 vertrauten Programmiermöglichkeiten verfügbar. Ein individueller Schutz der Steuerung oder des Automatisierungssystems ist sinnvoll und wird bereits vom Kommunikationsprozessor gewährleistet. Für externe Geräte wie den „CloudConnect 7“ stehen zusätzliche Sicherheitsoptionen zur Verfügung.
Literatur:
[1] Siemens AG, Nürnberg: www.siemens.de/cloudconnect , www.siemens.com/cloudconnect