IT Sicherheit in der Gebäudeautomation VDMA Einheitsblatt 24774

Transkript

1 IT Sicherheit in der Gebäudeautomation VDMA Einheitsblatt Dr. Andreas Wetzel

2 Früher (war alles besser) Beleuchtung: Keine Gefährdung in der GA bzgl. IT Sicherheitsrisiken! Heizung Klima Lüftung: Sonnenschutz: Aber auch keine Keine Gebäudeautomation Keine Kommunikation zwischen Komponenten Keine Alarmierung Keine Komfortfunktionalitäten Keine bedarfsabhängige Funktionalitäten Keine Gewerke übergreifende Funktionalität (z.b. Effizienzsteigerung) Kein Energiemonitoring Keine Fernbedienung Keine Fernwartung

3 Rückblick: GLT Anwendertagung 2014 in Dresden: Vorträge: Podiumsdiskussion: Seite 3 07/10/16

4 VDMA Einheitsblatt

5 Positionspapiere zur IT Sicherheit in GA von Verbänden und Herstellern

6 IT Sicherheit in der Gebäudeautomation: Trend: Gebäudeautomation und IT nähern sich an. IT Sicherheitspraktiken müssen bei der Gebäudeautomation bewertet und wenn erforderlich übernommen werden. Verantwortlich für Sicherheit in der Gebäudeautomation sind Hersteller, Anlagenbauer, Betreiber und Nutzer! Die Hersteller müssen geeignete Technologien in ihren Produkten & Projekten anbieten (können). Die Anlagenbauer, Betreiber und Nutzer müssen die geeigneten Technologien nachfragen und anwenden.

7 Vorwort Das VDMA-Einheitsblatt soll Planer, Errichter und Betreiber dabei unterstützen Maßnahmen für IT- Sicherheit von neuen oder schon errichteten GA- Systemen umzusetzen. Dies betrifft den gesamten Lebenszyklus, inklusive Wartung, Service und Rückbau. Das VDMA-Einheitsblatt soll dabei helfen die Bedrohung durch Cyberangriffe zu erkennen, zu vermeiden oder deren Auswirkung zu minimieren.

8 VDMA Einheitsblatt Inhaltsverzeichnis Verantwortlichkeiten: 4.2 Hersteller 4.3 Projektierung 4.4 Inbetriebnahme 4.5 Wartung 4.6 Fernservice 4.7 Benutzer

9 Anforderung Hersteller GA Produkte (Automationsstationen, Webserver, MBE Software), die am offenen IT Netzwerk angeschlossen sind und eine Benutzerschnittstelle (z.b. via Webserver) implementiert haben (Port 80, 433), müssen z.b.: eine konfigurierbare Benutzerauthentifizierung implementiert haben. Authentifizierung mit min. PW Anforderungen: Länge, Sonderzeichen, verpflichtender PW Wechsel. Vorzugsweise ist das HTTPS Protokoll für eine verschlüsselte Kommunikation zu wählen. Nutzung von aktuellen und kundenspezifischen IT Zertifikaten unterstützen.

10 Herstellerebene: Produkt Hardening

11 Anforderung Hersteller GA Produkte (Automationsstationen, Webserver, MBE Software), die am offenen IT Netzwerk angeschlossen sind und eine Benutzerschnittstelle (z.b. via Webserver) implementiert haben (Port 80, 433), müssen z.b.: eine konfigurierbare Benutzerauthentifizierung implementiert haben. Authentifizierung mit min. PW Anforderungen: Länge, Sonderzeichen, verpflichtender PW Wechsel. Vorzugsweise ist das HTTPS Protokoll für eine verschlüsselte Kommunikation zu wählen. Nutzung von aktuellen und kundenspezifischen IT Zertifikaten unterstützen.

12 Anforderung an Benutzer / Wartung Benutzer Wartung Akzeptieren und Nutzen der gegebenen teilweise eingeschränkten Zugänge. Durchführen von sicherheitsrelevanten Updates. Verwenden der vorgegebenen Passwortrichtlinien. Prüfen und Archivierung von Backups. Bereithalten und Aktualisieren der GA Dokumentation (Systemtopologie, Sicherheitskonzepte). Prüfen und durchführen von sicherheitsrelevanten Systemanpassungen. Definition und Training von Sicherheitsmaßnahmen und Abläufen im Störfall.

13 Durchführen von sicherheitsrelevanten Updates: Updates in der IT Umgebung und bei mobilen Endgeräten sind beruflich wie privat etabliert. IT Umgebung in der GA ist daher gleichermaßen periodisch bzgl. Betriebssystemen und weiteren Softwaretools (Antivirenprogramme, ) zu aktualisieren. Auch die GA spezifischen Programme sind zu aktualisieren. Am Besten hierfür - IT üblich- einen geeigneten Wartungsvertrag z.b. für die MBE abschließen. Auch GA Controller AS und RC sind oftmals SPS oder embedded IT Komponenten, auf denen firmenspezifische Hard- und Firmwarekomponenten laufen. Auch hier können Firmware- Updates zur Funktionalitätsverbesserung, Stabilitätsverbesserung und zur IT Sicherheit bestehen.

14 Zukünftige GA Projekte Benutzer ist (vereinfacht) ehemaliger Bauherr und wird bei Modernisierungen und Erweiterungen zukünftiger Bauherr und Auftraggeber. Auf Maßnahmen auf Ebene der IT-Infrastruktur und der IT Sicherheit, d.h. der Netzwerke/Netzwerksegmente und deren Zugänge hat der GA-Produkt-Hersteller üblicherweise kaum mehr, oder nur noch indirekten Einfluss. Diese werden durch den Ersteller der GA-Anlage (in aller Regel in Zusammenarbeit mit den IT- Verantwortlichen des Kunden / Gebäudebetreibers / Bauherrn) nach den Vorgaben projektiert und realisiert. Der Planer der GA Anlage legt fest, ob die GA oder die Automationsebene auf einem separaten, für die GA dedizierten Netzwerk betrieben wird, ob eine Internetanbindung für die Fernkommunikation benötigt wird, wie das Netzwerk segmentiert wird, welche Sicherheitsmaßnahmen wie Firewalls, VPNs etc. für die Zugangspunkte eingesetzt werden, wie WLANs abgesichert werden. Sie bekommen in der Gebäudeautomation, was in den Ausschreibungen / Leistungsverzeichnissen durch Sie oder den verantwortlichen GA- Planer gefordert wurde! Zusätzliche IT Sicherheitsleistungen benötigen ggf. zusätzliche Komponenten und zusätzliche Dienstleistungen. Wenn auch nicht immer gewünscht ist eine Kooperation mit der eigenen IT Abteilung wg. vorhandenen Knowhow und Betreuung der Infrastruktur über die Zeit zu empfehlen.

15 Welche Bedrohung habe ich? individuelle GA Risikoanalyse Sind sicherheitsrelevante Funktionen auf der GA aufgeschaltet? (Brandschutz, Zutrittskontrolle, bei Rechenzentren, Krankenhäuser, Flughäfen, ) Welchen physikalischer Zugang gibt es zu Gebäudeautomationskomponenten und deren Kommunikation (Leitungen)? Gibt es eine strikte Kommunikationstrennung von GA- und IT-Netzwerken? Welche Standardprotokolle BACnet, FTP, SMTP, werden eingesetzt bzw. sind in der Firewall geöffnet. Werden Funkübertragungsstrecken (Wlan, KNX-RF, EnOcean) eingesetzt? Besteht ein externer Zugang zur GA Kommunikation (z.b. bei abgesetzte Liegenschaften)? Nutzung von Fernwartung, Fernoptimierung, externen Wettervorhersagedaten? Gibt es geschultes Personal vor Ort und einen GA Wartungsvertrag mit definierter Reaktionszeit für Gebäudeautomation? Gibt es eine aktuelle Strategie für Backups sowie aktuelle Hard- und Softwareupdates? erforderlich.

16 VDMA Danke für die Aufmerksamkeit!