IoT, die "smarte" Herausforderung für die Cybersecurity

IoT-Einsatzszenarien findet man fast in jedem Bereich und so schätzt man, dass in wenigen Jahren acht von zehn Schweizer Unternehmen IoT-Komponenten im Einsatz haben werden. Damit dringt die Konnektivität in Businessbereiche vor, die bislang voneinander unabhängig waren. Unternehmen werden deshalb immer abhängiger von IoT und Industrie 4.0. Dadurch steigt aber auch die Gefahr, dass solche Systeme manipuliert werden. Diebstahl, Betrug, Erpressung und Manipulation sind mögliche Folgen. Mit dem Einsatz von Kryptowährungen als M2M-Bezahlsystem wird das Angriffsrisiko zusätzlich erhöht – ohne, dass der User direkt involviert ist. Trotzdem finden grundlegende Sicherheitsprinzipien, die man schon seit Jahren als Best-Practice erachtet, oft den Weg nicht in den Entwicklungszyklus von IoT-Komponenten. Das Haar in der Suppe ist – wieder einmal – die Sicherheit.

Agieren statt reagieren

Cybersecurity sollte deshalb zuoberst auf der Agenda stehen – und das nicht erst, wenn etwas schiefgegangen ist. Wer sich mit IoT und Industrie 4.0 beschäftigt, muss sich zwingend auch mit dem Thema Sicherheit auseinandersetzen. Es empfiehlt sich, auf einen systematischen Ansatz zu setzen und der Sicherheit das nötige Gewicht beizumessen. Internationale Standards (beispielsweise die ISO/IEC-270xx-Familie oder das Cybersecurity Framework vom NIST) bieten anerkannte Modelle für die Einrichtung, Umsetzung, Überprüfung und kontinuierliche Verbesserung auf Basis eines Informationssicherheits-Management-Systems (ISMS).

Technisch liegt der Schlüssel zur Sicherheit in einer geeigneten Architektur und der entsprechenden Zonierung bei IoT- und Industrie-4.0-Netzwerken. Zu den wichtigsten Aspekten gehören die Identität, die Authentisierung und der Schutz der Daten sowie im Back-End die optimale Segmentierung der Umgebungen, Datenströme, Betriebsprozesse und Überwachung der so geschaffenen Zonenübergänge. So gilt es, verschiedene Verteidigungslinien (Lines of Defense) aufzubauen. Dabei muss jede Zone und jeder Zonenübergang mit entsprechenden Sicherheitsmassnahmen versehen werden. Hier gilt es, sich an den bewährten "Best-Practice"-Ansätzen zu orientieren. Vergessen sollte man zudem auch nicht das regelmässige Update- und Patch-Management (auch) von IoT-Geräten.

IoT als fester Bestandteil der Cybersecurity

IoT-Security ist keine einmalige Angelegenheit, da sich die Risikosituation stetig ändert. Unternehmen müssen kontinuierlich die aktuelle Bedrohungslage beobachten und ihr Sicherheitsdispositiv, unter Berücksichtigung von neuen Bedrohungen und Schwachstellen, optimieren und kontinuierlich verbessern. Wichtige Elemente einer Security Governance beinhalten deshalb Risk Assessments, organisatorische Audits, System Security Testing, Pene­tration Tests und Vulnerability Scans. Unternehmen sollten zudem jederzeit in der Lage sein, Sicherheitsvorkommnisse zu erkennen, schnell darauf zu reagieren und die Auswirkungen auf ein Minimum zu reduzieren. Sicherheit darf kein Thema sein, dem man sich irgendwann hinterher widmet – womöglich erst, wenn ein Vorfall eingetreten ist. Wer sich mit IoT und Industrie 4.0 beschäftigt, muss sich auch mit Cyber Defence auseinandersetzen.