Sicherheit im InternetIndustrial Control Systeme und Sicherheit

59. Immobiliengespräch vom 23. April 2015

© 2014 InfoGuard AG | infoguard.chSEITE 1

© 2014 InfoGuard AG | infoguard.ch

SCADA und ICS Systeme

› Supervisory Control and Data Acquisition (SCADA)Industrial Control Systems (ICS)

› Überwachen und steuern technischer Prozesse mittels eines Computer-Systems

› Gebäudeleittechnik,Gebäudeautomation

› Kommunikation:vermehrt Internet-basiert

› zT. unsicheres„web-enabling“der Technologien

SEITE 2

© 2014 InfoGuard AG | infoguard.ch

Gebäudeautomation

SEITE 3

© 2014 InfoGuard AG | infoguard.ch

› Betriebszustände von Anlageteilen

› Motoren

› Lüftungsklappen, Ventile

› Störmeldungen

› Schalterstellungen

› Direkte Messwerte› Temperatur, Druck

› Verbrauchszählerstände

› Brandmeldeanlagen

› Zugangskontrollsysteme, Videoüberwachung

SEITE 4

Informationen

© 2014 InfoGuard AG | infoguard.ch

SCADA Security – Incidents 2014ICS-CERT, USA

SEITE 5

© 2014 InfoGuard AG | infoguard.ch

SCADA Security – Access Vector 2014ICS-CERT, USA

SEITE 6

© 2014 InfoGuard AG | infoguard.ch

› Security by Design – in der (heutigen, modernen) IT noch immer ein Fremdwort

› Sicherheit im Design, Ausführung und Betrieb von SCADA Systemen

› Security by Obscurity – Nutzung spezialisierter oder proprietärer Protokolle macht SCADA nicht sicherer

› Physikalischer Schutz von SCADA Systemen – sobald eine Schnittstelle zu einem Netzwerk besteht, hilft physische Sicherheit nur noch bedingt

› Sicherheit durch Trennung vom Internet – heute kein zwingender Hinderungsgrund mehr

› Safety deckt Security nicht ab!

SEITE 7

SCADA Sorgenliste

© 2014 InfoGuard AG | infoguard.ch

Top 10 2014BSI-CS 005 v1.10, www.bsi.de

SEITE 8

© 2014 InfoGuard AG | infoguard.ch

› Risikoanalyse / Threat Modelling

› Angriffsvektoren

› Schadenausmass, Entdeckungsmöglichkeiten und Wahrscheinlichkeit

› Systematischen Sicherheitsplan – Sicherheitskonzept entwickeln, inklusiv Informationssicherheit

› Schnittstellen / Kommunikation zu „physischer Sicherheit / Safety“ und IT-Sicherheit etablieren

› Prozesse, Verantwortlichkeiten, Informationsflüsse

› Eskalation, Incident Management

› Notfallkonzeption/-planung

SEITE 9

Massnahmen

InfoGuard AGLindenstrasse 10, 6340 Baar/SchweizTelefon +41 41 749 19 00, Fax +41 41 749 19 10infoguard.ch, info@infoguard.ch

Umberto AnninoSenior Security ConsultantDirect +41 41 749 1993

Mobile +41 79 679 0096

umberto.annino@infoguard.ch

SEITE 10

Kontakt

© 2014 InfoGuard AG | infoguard.ch