| Nächste Überarbeitung | Vorhergehende Überarbeitung |
| content:industrie [2024/04/17 10:17] – angelegt - Externe Bearbeitung 127.0.0.1 | content:industrie [2025/04/30 10:32] (aktuell) – approve |
|---|
| ~~NOCACHE~~ | |
| [[inhaltsverzeichnis/|Inhaltsverzeichnis]] | |
| ---- | |
| ====== Safety (Security) Risiko im Bereich von Industrie- und Produktionsanlagen ====== | ====== Safety (Security) Risiko im Bereich von Industrie- und Produktionsanlagen ====== |
| |
| **Autoren:** David Schepers, Martin Zeh, Stephan Gebhard | **Autoren:** David Schepers, Martin Zeh, Stephan Gebhard, David Meier |
| ===== Kommentare ===== | ===== Kommentare ===== |
| |
| * Unklar, wie Abbildung 10: Security Risiko Betrachtung aus 62443 abgeleitet wird. | * Unklar, wie Abbildung 10: Security Risiko Betrachtung aus 62443 abgeleitet wird. |
| * "Bezüglich unscharfer oder unsicherer Risikobeiträge im Bereich Security im Industrieumfeld gibt es den Vorschlag, das minimale Risiko auf SL 2 festzulegen. Bei höheren anzunehmenden Schäden kann auf SL 3 erhöht werden. Ein SL 4 ist technisch schwer umsetzbar und sehr kostenintensiv und wird daher ausgeschlossen." Sollte als Zitat mit Quellenangabe verwendet werden. Wer schlägt hier was vor? Wir sollten uns hier an belegbare fakten halten. Die Norm sagt das so nicht. | * "Bezüglich unscharfer oder unsicherer Risikobeiträge im Bereich Security im Industrieumfeld gibt es den Vorschlag, das minimale Risiko auf SL 2 festzulegen. Bei höheren anzunehmenden Schäden kann auf SL 3 erhöht werden. Ein SL 4 ist technisch schwer umsetzbar und sehr kostenintensiv und wird daher ausgeschlossen." Sollte als Zitat mit Quellenangabe verwendet werden. Wer schlägt hier was vor? Wir sollten uns hier an belegbare fakten halten. Die Norm sagt das so nicht. |
| |
| |
| ===== Relevante Normen und Richtlinien (unvollständig) ===== | ===== Relevante Normen und Richtlinien (unvollständig) ===== |
| <font 18px/Calibri,sans-serif;;inherit;;inherit>**Safety**</font> | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>Grundnormen:</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 61508:2010 (Teile 1 – 7)</font> | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>Sektor-Normen:</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>EN ISO 12100:2010 (Risikobewertung)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>EN 62061:2016 (Maschinen-Technik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>EN ISO 13849-1:2015 (Maschinen-Technik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>EN ISO 13849-2:2012 (Maschinen-Technik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>EN 61800-5-2:2016 (Antriebstechnik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 61511-1:2016 (Prozesstechnik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 61513:2011 (Kernkraft-Technik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO 10218:2011 (Industrie-Roboter-Technik)</font> | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>Hinweis: Typ B2-Normen für bestimmte Schutzeinrichtungen (wie berührungslos wirkende Schutzeinrichtungen, Zweihandtaster usw.), welche ebenfalls Anforderungen an die Funktionale Sicherheit enthalten können, werden in der Liste nicht berücksichtigt.</font> | |
| <font 18px/Calibri,sans-serif;;inherit;;inherit>**Security**</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normenfamilien für gesamtheitliche Betrachtungen**</font> // | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Ehemals ISA 99, Teile davon bilden die IEC 62443 (Auszug)**</font> // | |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 62443-4-1:2018 (Produktentwicklung-Entwicklungsprozess-Vorgaben)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 62443-4-2:2019 (Produktentwicklung-Technische Security Anforderungen)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 62443-3-2:2018 (Risikobeurteilung auf Systemebene (Prozess))</font> | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC 62443-3-3:2013 (Technische Security-Anforderungen auf Systemebene) \\ | |
| (IEC 62443 wird in folgenden Bereichen zur Anwendung kommen: (Industrie, Bahntechnik, Prozesstechnik, Maschinentechnik)</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**ISO/IEC 27XXX Familie (Auszug)**</font> // | |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 27001 (Anforderungen Informationssicherheits-Managementsysteme)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 27002 (Empfehlungen für diverse Kontrollmechanismen für die Informationssicherheit)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 27005 Risikomanagement für die Informationssicherheit</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normen für Informationssicherheits-Managementsysteme (ISMS)**</font> // | |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 13335 (Management von Sicherheit der Informations- und Kommunikationstechnik)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 17799 (Leitfaden zum Informationssicherheitsmanagement)</font> | |
| |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 27001 i.V.m. ISO/IEC 27004</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normen für die Evaluierung von IT-Sicherheit**</font> // | ==== 1. Safety Grundnormen ==== |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 18045 (Methodik zur Evaluation von IT-Sicherheit)</font> | |
| |
| * | ^Kennung^Jahr^Titel^Anmerkung| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 15408:2009 / Common Criteria / Chipkarten, Hochsicherheit</font> | |[[:industrie|IEC 61508]]|2010|Functional safety of electrical/electronic/programmable electronic safety-related systems, Parts 1 - 7| | |
| | |[[:industrie|ISO 12100]]|2010|Safety of machinery - General principles for design - Risk assessment and risk reduction|Risikobewertung| |
| | |[[:industrie|IEC 62061]]|2016|Safety of machinery - Functional safety of safety-related electrical, electronic and programmable electronic control systems|Maschinen-Technik| |
| | |[[:industrie|ISO 13849-1]]|2015|Safety of machinery - Safety-related parts of control systems - Part 1: General principles for design|Maschinen-Technik| |
| | |[[:industrie|ISO 13849-2]]|2012|Safety of machinery - Safety-related parts of control systems - Part 2: Validation|Maschinen-Technik| |
| | |[[:industrie|IEC 61800-5-2]]|2017|Adjustable speed electrical power drive systems - Part 5-2: Safety requirements – Functional Safety|Antriebstechnik| |
| | |[[:industrie|IEC 61511-1]]|2016|Functional safety - Safety instrumented systems for the process industry sector, Parts 1 - 3|Prozesstechnik| |
| | |[[:industrie|IEC 61513]]|2011|Nuclear power plants - Instrumentation and control important to safety - General requirements for systems|Kernkraft-Technik| |
| | |[[:industrie|ISO 10218]]|2011|Robots and robotic devices - Safety requirements for industrial robots|Industrie-Roboter-Technik| |
| |
| * | ==== 2. Security ==== |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 19790 (Anforderungen an kryptographische Module)</font> | |
| |
| * | === 2.1 Normenfamilien für gesamtheitliche Betrachtungen === |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 19792 (Evaluierung der IT-Sicherheit biometrischer Technologie)</font> | |
| |
| * | ^Kennung^Jahr^Titel^Anmerkung| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC TR 15443 (Rahmenrichtlinien zur Sicherung von IT-Sicherheit)</font> | |[[:industrie|IEC 62443-4-1]]|2018|Security for industrial automation and control systems – Part 4-1: Secure product development lifecycle requirements|Produktentwicklung| |
| | |[[:industrie|IEC 62443-4-2]]|2019|Security for industrial automation and control systems - Part 4-2: Technical security requirements for IACS components|Produktentwicklung| |
| | |[[:industrie|IEC 62443-3-2]]|2018|Industrial communication networks - Network and system security - Part 3-2: Security levels for zones and conduits|Risikobeurteilung auf Systemebene| |
| | |[[:industrie|IEC 62443-3-3]]|2013|Industrial communication networks – Network and system security – Part 3-3: System security requirements and security levels|Technische Security-Anforderungen| |
| |
| * | === 2.2 Normen für Informationssicherheits-Managementsysteme (ISMS) === |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC TR 19791 Bewertung der Sicherheit von Systemen im Betrieb</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normen für spezielle (IT)-Sicherheitsverfahren**</font> // | ^Kennung^Jahr^Titel^Anmerkung| |
| * | |[[:industrie|ISO/IEC 27001]]|2013|Information technology — Security techniques — Information security management systems — Requirements|Informationssicherheits-Managementsysteme| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 10118 (Hashfunktionen)</font> | |[[:industrie|ISO/IEC 27002]]|2013|Information technology – Security techniques – Code of practice for information security controls|Kontrollmechanismen für die Informationssicherheit| |
| | |[[:industrie|ISO/IEC 27005]]|2018|Information technology – Security techniques – Information security risk management|Risikomanagement für Informationssicherheit| |
| | |[[:industrie|ISO/IEC 13335]]|2004|Information technology - Security techniques - Management of information and communications technology security|Sicherheit der Informations- und Kommunikationstechnik| |
| |
| * | === 2.3 Normen für die Evaluierung von IT-Sicherheit === |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 11770 (Schlüsselmanagement)</font> | |
| |
| * | ^Kennung^Jahr^Titel^Anmerkung| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 18033 (Verschlüsselungsalgorithmen)</font> | |[[:industrie|ISO/IEC 18045]]|2008|Information technology – Security techniques – Methodology for IT security evaluation|Methodik zur Evaluation von IT-Sicherheit| |
| | |[[:industrie|ISO/IEC 15408]]|2009|Information technology – Security techniques – Evaluation criteria for IT security|IT-Sicherheit| |
| | |[[:industrie|ISO/IEC 19790]]|2012|Information technology – Security techniques – Security requirements for cryptographic modules|Kryptographische Module| |
| | |[[:industrie|ISO/IEC 19792]]|2009|Information technology – Security techniques – Security evaluation of biometrics|Biometrische Technologie| |
| |
| * | === 2.4 Normen für spezielle (IT)-Sicherheitsverfahren === |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 9798 (Authentisierung)</font> | |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normen für physikalische Sicherheit im Kontext der IT-Sicherheit**</font> // | ^Kennung^Jahr^Titel^Anmerkung| |
| * | |[[:industrie|ISO/IEC 10118]]|2016|IT Security techniques - Hash-functions|Hashfunktionen| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>DIN 4102 (Brandverhalten von Baustoffen und Bauteilen)</font> | |[[:industrie|ISO/IEC 11770]]|2017|IT Security techniques - Key management|Schlüsselmanagement| |
| | |[[:industrie|ISO/IEC 18033]]|2020|IT Security techniques - Encryption algorithms|Verschlüsselungsalgorithmen| |
| | |[[:industrie|ISO/IEC 9798]]|2010|IT Security techniques - Entity authentication|Authentifizierung| |
| |
| * | === 2.5 Normen für physikalische Sicherheit im Kontext der IT-Sicherheit === |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>DIN EN 1627 ff. (Einbruchshemmende Bauteile)</font> | |
| |
| * | ^Kennung^Jahr^Titel^Anmerkung| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>DIN EN 60529 (Schutzarten durch Gehäuse)</font> | |[[:industrie|DIN 4102]]|2017|Fire behaviour of building materials and building components|Brandverhalten| |
| | |[[:industrie|DIN EN 1627]]|2021|Pedestrian doorsets, windows, curtain walling - Burglar resistance|Einbruchshemmung| |
| | |[[:industrie|DIN EN 60529]]|2014|Schutzarten durch Gehäuse (IP-Code) (IEC 60529:1989 + A1:1999 + A2:2013)|Schutzarten durch Gehäuse| |
| |
| // <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Normen für spezielle Sicherheitsmaßnahmen**</font> // | === 2.6 Normen für spezielle Sicherheitsmaßnahmen === |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 18028 (IT Netzwerksicherheit)</font> | |
| |
| * | ^Kennung^Jahr^Titel^Anmerkung| |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>ISO/IEC 27039 (Auswahl, Einsatz und Betrieb von IDS Systemen)</font> | |[[:industrie|ISO/IEC 18028]]|2014|IT Security techniques - Network security|Netzwerksicherheit| |
| | |[[:industrie|ISO/IEC 27039]]|2015|Information technology – Security techniques – Selection, deployment and operations of intrusion detection and prevention systems (IDPS)|IDS-Systeme| |
| |
| __ <font 11pt/Calibri,sans-serif;;inherit;;inherit>**Sonstige Normen:**</font> __ | ==== 3. Sonstige Normen ==== |
| * | |
| <font 11pt/Calibri,sans-serif;;inherit;;inherit>IEC/TR 63069 Ed1.0 – Framework for Functional Safety and Security</font> | |
| |
| (wird im Maschinenbereich angewendet und bezieht sich auf die IEC 62443) | ^Kennung^Jahr^Titel^Anmerkung| |
| | |[[:industrie|IEC/TR 63069]]|2019|Framework for functional safety and security|Anwendung im Maschinenbereich, IEC 62443| |
| |
| ===== 1 Risiko: Definition und Herausforderungen ===== | ===== 1 Risiko: Definition und Herausforderungen ===== |
| \\ | \\ |
| <font 16px/inherit;;inherit;;inherit>**S**</font> | <font 16px/inherit;;inherit;;inherit>**S**</font> |
| <font 16px/inherit;;inherit;;inherit>**chritt 1:**</font> Erstellung einer Gefährdungsübersich t | <font 16px/inherit;;inherit;;inherit>**chritt 1:**</font> Erstellung einer Gefährdungsübersich t |
| |
| * Zusammenstellung einer Liste von möglichen elementaren Gefährdungen in Abhängigkeit ihrer Auswirkungen auf die jeweiligen Assets | * Zusammenstellung einer Liste von möglichen elementaren Gefährdungen in Abhängigkeit ihrer Auswirkungen auf die jeweiligen Assets |
| |
| Abbildung 5: Gefährdungen (Auszug) und ihr möglicher Einfluss auf die Grundwerte gemäß BSI Standard 200-3, Dabei steht C für Confidentiality (Vertraulichkeit), I für Integrity (Integrität) und A für Availability (Verfügbarkeit | Abbildung 5: Gefährdungen (Auszug) und ihr möglicher Einfluss auf die Grundwerte gemäß BSI Standard 200-3, Dabei steht C für Confidentiality (Vertraulichkeit), I für Integrity (Integrität) und A für Availability (Verfügbarkeit |
| <font 16px/inherit;;inherit;;inherit>**Schritt 2:**</font> Risikoeinstufung | <font 16px/inherit;;inherit;;inherit>**Schritt 2:**</font> Risikoeinstufung |
| |
| * Risikoeinschätzung (Ermittlung von Eintrittshäufigkeit und Schadenshöhe) | * Risikoeinschätzung (Ermittlung von Eintrittshäufigkeit und Schadenshöhe) |
| {{:7ce236fe30d6d462b463b914722bbce8.png}} \\ | {{:7ce236fe30d6d462b463b914722bbce8.png}} \\ |
| Abbildung 6: Matrix zur Einstufung von Risiken (Bundesamt für Sicherheit in der Informationstechnik (BSI), 2019) | Abbildung 6: Matrix zur Einstufung von Risiken (Bundesamt für Sicherheit in der Informationstechnik (BSI), 2019) |
| <font 16px/inherit;;inherit;;inherit>**Schritt 3:**</font> Risikobehandlung | <font 16px/inherit;;inherit;;inherit>**Schritt 3:**</font> Risikobehandlung |
| |
| * Risikovermeidung | * Risikovermeidung |
| |
| Abbildung 7: Risikobehandlung (Bundesamt für Sicherheit in der Informationstechnik (BSI), 2019) | Abbildung 7: Risikobehandlung (Bundesamt für Sicherheit in der Informationstechnik (BSI), 2019) |
| <font 16px/inherit;;inherit;;inherit>**Schritt 4: **</font> Konsolidierung des Sicherheitskonzepts | <font 16px/inherit;;inherit;;inherit>**Schritt 4: **</font> Konsolidierung des Sicherheitskonzepts |
| |
| * Integration der aufgrund der Risikoanalyse identifizierten zusätzlichen Maßnahmen in das Sicherheitskonzept BSI-Standard200-3 | * Integration der aufgrund der Risikoanalyse identifizierten zusätzlichen Maßnahmen in das Sicherheitskonzept BSI-Standard200-3 |