Digitale Hoheit über den Maschinenpark Industrie 4.0 Sicher vernetzt

Transkript

1 Digitale Hoheit über den Maschinenpark Industrie 4.0 Sicher vernetzt Ulrich Lieske ZEDAS GmbH Senftenberg

2 Agenda 2 1. Vorstellung und Motivation 2. Digitale Vernetzung der Produktion - Status quo 3. Sicherheit für Anlagenbetreiber - SecureFactoryRAS 4. Digitale Hoheit über den Maschinenpark (Remote Service) 5. Benchmark (Checkliste) 6. Praxiserfahrungen

3 Zur Person: Ulrich Lieske Studium der Informationstechnik an der HfV Dresden 1990 Gründer/Prokurist der PC-Soft GmbH Senftenberg/heute ZEDAS GmbH Enterprise IT-Infrastruktur-Architekt, Leiter der Business Unit Systemintegration Schnittstelle des Software-Herstellers ZEDAS zu IT-Strukturen der Kunden >27 Jahre Erfahrung und Projekte in Industrieunternehmen

4 Vorstellung ZEDAS GmbH Unternehmensprofil 4 ZEDAS ist ein internationaler Lösungsanbieter von Standardsoftware für Bahn-Logistik und Technisches Anlagen Management Dienstleistungen für unsere zedas -Software: Beratung, Konzepte, Projektmanagement, Schulung, IT-Infrastruktur, IT-Security, 24/7 Support, Software as a Service > 70 Mitarbeiter + Partnernetzwerk Hauptsitz Senftenberg Business Unit Anlagenmanagement Business Unit Bahnlogistik Business Unit Systemintegration

5 Digitale Vernetzung der Produktion Entwicklungen der letzten Jahre 5 Rechnergestützte Steuerungen und Leitsysteme Standard-Technologien (Ethernet, Switching, TCP/IP, Windows, Linux) Vernetzte Maschinen und Anlagen unterschiedliche Hersteller Remote-Service und -Updates durch Hersteller/Dienstleister Vernetzung entlang der Wertschöpfungskette (Kunden, Lieferanten) Daten-Schnittstellen zu externen und internen Systemen (Maschine- Maschine) Remote-Zugriffe aus dem Unternehmensnetzwerk Büro-Netzwerk (Mensch-Maschine) Digitale Transparenz

6 Digitale Vernetzung in der Produktion Immanente Sicherheitsprobleme 6 Zugriff bedingt nicht Zugang Physische Präsenz nicht zwingend Produktionsumgebungen - Angriffsziele für Cyberkriminelle Permanenz von Altsystemen wegen langer Investitionszyklen Sicherheits-Updates für Firmware und Betriebssysteme Stabilität des Produktionsprozesses Never change a running system!, trotz wachsender Gefahren Kompatibilitäts-, Garantie-, Abnahme- oder Wartungs-Probleme Komplexität von IT-Lösungen Wissensstand der Mitarbeiter Sensibilisierung für IT-Sicherheit

7 Sicherheit für Anlagenbetreiber Ziele 7 Ziel aus Sicht des Betreibers: Governance* Physische Hoheit über den Maschinenpark: Regulierung des Zugangs zur Produktionsstätte Zäune, Tore, Gebäude, Türen, Schlösser Verfahren und Anweisungen Digitale Hoheit über den Maschinenpark: Regulierung der digitalen Wege, Tore, Türen, Schlösser Authentifizierung, Autorisierung, Kontrolle Mitwirkung beim digitalen Zugriff (Freigabe) Verteidigung in der Tiefe gegen Angriffe *Kontrolle, Herrschaft Hoheit

8 Sicherheit für Anlagenbetreiber Anforderungen 8 Berücksichtigung des Sicherheitsniveaus bereits in der Planung und Entwicklung (Security by-design) Ganzheitlicher Ansatz aus Maßnahmen zur Technischen Sicherheit Hardware Netzwerk Software Organisatorischen Sicherheit Verantwortung Kontrolle Vier-Augen-Prinzip Prozessabläufe Dokumentation Security-by-Default, Security-by-Obscurity

9 Sicherheit für Anlagenbetreiber SecureFactoryRAS 9 Phase 1: Die schnelle Lösung Produktionsanlagen Produktionsnetzwerk Mobile Mitarbeiter Internet Externer Service VPN-Tunnel über Internet Büro-Netz

10 Sicherheit für Anlagenbetreiber SecureFactoryRAS 10 Nach Hause funken: Fluch der GSM/VPN-Router Produktionsanlagen Mobile Mitarbeiter GSM PLT Internet Externer Service GSM Produktionsnetzwerk Büro-Netz PLT

11 Sicherheit für Anlagenbetreiber SecureFactoryRAS 11 Phase 2: Rendezvous der VPN-Router Produktionsanlagen Mobile Mitarbeiter Hoheit PLT Internet VPN1 Externer Service PLT Produktionsnetzwerk VPN2 Rendezvous- Server DMZ Büro-Netz

12 Sicherheit für Anlagenbetreiber SecureFactoryRAS 12 Nachteile: Rendezvous der VPN-Router Nur Kontrolle über den Netzwerkverkehr, nicht über die Anwendungen und Endgeräte Vollständiger End-to-End-Zugriff auf Anlagen über VPN- Tunnel für Externe Büro-Nutzer werden weniger restriktiv behandelt Gefahr des Angriffs von innen Schwierige innerbetriebliche Koordination von Servicezugriffen (dezentrale Hoheit)

13 Sicherheit für Anlagenbetreiber SecureFactoryRAS 13 Für Fortgeschrittene: SecureFactoryRAS Produktionsanlagen Produktionsnetzwerk Sichere Anwendung Overlay Virtuelle Fernwartungsrechner VDI VDI VDI PLT Hoheit DMZ Internet Externer Service Web SFTP PLT TS Applikationsvirtualisierung Büro-Netz Remote Computing Sicherheitszonen

14 Hoheit über den Maschinenpark Beispiel: Remote Service in SecureFactoryRAS 14 Technische Sicherheit: Verschlüsselter Zugang über Web-Portal Security-by-Obscurity Starke Zwei-Faktor-Authentifizierung PIN + Einmal-Passwort Mehrstufige Firewall Grundzustand: Verboten, was nicht explizit erlaubt ist Dedizierte, virtuelle Fernwartungsrechner je Dienstleister Grundzustand: ausgeschalten Freigabe- Schlüsselschalter je Anlage Grundzustand: ausgeschalten Automatische Rücknahme der Zugriffsberechtigungen Bei Abmelden bzw. Herunterfahren

15 Hoheit über den Maschinenpark Beispiel: Remote Service in SecureFactoryRAS 15 Organisatorische Sicherheit: Mitwirkung des (zentralen) Schichtleiters und der/des Anlagenverantwortlichen Kontrolle der aktiven und inaktiven Fernwartungsrechner Erfassung und Dokumentation der Serviceanforderung vor Start des Fernwartungsrechners Anforderung der Freigabe aus der Anlage Telefonischer Rückruf des externen Dienstleisters Erfassung der Service-Anwendung(en) Pushen der Service-Anwendung(en) Technisch erzwungen: - Telefonische Anmeldung Externer Dienstleister - Dokumentation der Service-Anforderung - Mitwirkungshandlung des Betreibers

16 Sicherheit für Anlagenbetreiber SecureFactoryRAS 16 Vorteile: SecureFactoryRAS Kontrolle über Netzwerkverkehr, Anwendungen und Endgeräte ONE FOR ALL Zugriff auf Anlagen für Externe über temporär eingeschaltete Service-Rechner und Anwendungen Büro-Nutzer werden ebenso restriktiv behandelt Innerbetriebliche Koordination von Servicezugriffen zwischen zentralen und dezentralen Produktionsverantwortlichen Einfache Handhabung und Kontrolle

17 Erfassung der Serviceanforderung Start Fernwartungsrechner 17

18 Leerer Fernwartungsdesktop Freischalten Anwendung 18 Nur Herunterfahren ausführbar

19 SecureFactoryRAS - Benchmark Dienste und Checkliste 19 Zentrale Dienste für Produktionsumgebungen: Remote-Services und -Updates durch externe Hersteller/Servicedienstleister Datentransfer mit externen und internen IT-Systemen Schnittstellen zu Maschinen und Anlagen unterschiedlicher Hersteller Anwendungsbereitstellung innerhalb des Unternehmens Viren- und Malware-Schutz, IPS, IDS, Anomalie Monitoring (Hardware, Netzwerk, Anwendungen, Security) Update-Services (Betriebssysteme, Firmware, Pattern, Software) Backup & Disaster-Recovery Zentrale Drucklösungen Sicherheit: Siehe Checkliste auf

20 Praxiserfahrungen SecureFactoryRAS 20 Konsolidierter Zugang für alle externen Servicedienstleister Einheitliches Sicherheitslevel Sinkende Kosten der Auditierung/Zertifizierung Staffelung der Verteidigung in der Tiefe einfachste Handhabung Digitale Hoheit zurück in die Produktionsverantwortung Praxiserprobt

21 Praxiserfahrungen SecureFactoryRAS 21 Der Hauptvorteil von SecureFactoryRAS liegt darin, dass es einem strategischen Konzept folgt, welches das bisherige Sammelsurium projektgetriebener Insellösungen in eine zentrale, sichere und handhabbare Umgebung überführt.

22 Fragen offen geblieben? Bitte fragen Sie uns! 22

23 Wir danken für Ihre Zeit und stehen gern für Fragen bereit. ZEDAS GmbH Ulrich Lieske Prokurist/Leiter BU Systemintegration Tel: +49 (3573)