Werden technische oder organisatorische Maßnahmen ergriffen, ist hier ebenfalls ehrlich mit den erwarteten Ergebnissen umzugehen. Eine Backup-Strategie erweist sich lediglich dann als sinnvoll, sofern die Backups tatsächlich durchgeführt werden. Netzsegmen­tierung wirkt nur so gut wie die Regelwerke. Benutzerrichtlinien müssen akzeptier- und einhaltbar sein. Anderenfalls erzeugen die Maßnahmen bloß ein falsches Gefühl von Sicherheit, das dem Ernstfall nicht standhält. Ein selteneres, aber dafür überprüfbares Backup kann somit zielführend sein. Zugangsregelungen, deren Nutzung nicht praktikabel sind, führen dazu, dass die Pass­wörter unter den Mitarbeitern weitergegeben werden. Schnell zusätzlich verlegte Netzwerkkabel, welche die eigentlich geplante Netzwerksegmentierung umgehen, sind in der Praxis ebenso bekannt wie im Schaltschrank versteckte Fernwartungsrouter, die jede Sicherheitsstrategie aushebeln. Weniger, dafür jedoch richtig, kann folglich mehr sein.
Technische Maßnahmen müssen analog betrachtet werden. Eine benutzerfreundliche Security-Parame­trie­rung senkt die Gefahr von Fehlbedienungen, die ­unbewusst neue Security-Risiken bedingen. Bei der Auswahl der verwendeten Produkte sind die notwendigen Security-Funktionen relevant, damit sich sämtliche geplanten technischen Maßnahmen umsetzen lassen. In der Praxis entstehen viele IT-Security-Probleme ­allerdings durch Fehler in den eingesetzten Produkten. Dies betrifft dann alle Produkte, die in der vernetzten Umgebung genutzt werden – von der Steuerung über die Projektierungssoftware und Sensoren bis zu Nebengeräten (1). Fehler in der Programmierung ­lassen sich also für Angriffe verwenden. Somit ist ­Security keinesfalls nur ein Thema von Security-Produkten, sondern berührt das ganze System und stellt ein Qualitätsmerkmal der eingesetzten Produkte dar, was bei deren Auswahl berücksichtigt werden sollte. Für die Lieferanten bedeutet dies, dass sie Security in ihre Prozesse zur Entwicklung von Produkten und ­Lösungen einbeziehen müssen. Security-by-Design setzt am Anfang der Produktentstehung an und zieht sich über die Entwicklung und den Test bis zur Pflege. Gute Security in Produkten erfordert zudem eine entsprechende Dokumentation, welche die Anwender bei der Parametrierung unterstützt, um Angriffsflächen zu minimieren.
Hundertprozentige Security gibt es nicht. Insofern ist der Umgang mit Security-Fehlern als wichtiges Merkmal einer guten Security zu werten. Über ein PSIRT (Product Security Incident Response Team) nimmt der Hersteller hier Hinweise zu potenziellen Fehlern entgegen. Diese müssen anschließend bearbeitet werden und können in einem Security-Advisory mit Informationen für die Anwender resultieren. Für gute Security ist ein transparenter Umgang mit Security-Fehlern folglich ebenso selbstverständlich wie eine Zusage zur Produktpflege.

Literatur

[1] Büro-Drucker mit löcheriger Firmware – Sicherheitsniveau wie vor Jahrzehnten. heise online, 2019

www.phoenixcontact.de/security

Dr.-Ing. Lutz Jänicke (Product & Solution Security Officer, Corporate Technology & Value Chain bei der Phoenix Contact GmbH & Co. KG in Blomberg)

Ähnliche Beiträge