Daten-Sicherheit für Monitoring Systeme
In dieser Rubrik werden Informationen über IT-Sicherheit im Kontext Power Quality & Power Monitoring Systeme diskutiert.
Das Kapitel ist dynamisch und somit nicht als abschliessend zu betrachten.
Fazit
Ungewollte Dateneingriffe bewirken, dass etwas nicht mehr so ist, wie es vom Grundsatz her geplant war. Deshalb wirken sich solche Eingriffe oftmals unmittelbar auf Kosten als auch auf die Reputation der betroffenen Person oder des Unternehmens aus. Der Schaden ist also um ein x-faches höher, als nur die Abwehr oder Heilung des erfolgten Eingriffs.
Zudem ist anzumerken, dass bereits angegriffene Geräte als Platform zur wesentlichen Ausbreitung der Datenabgriffe & Manipulation genutzt werden können. Somit haben ungewollte Zugriffe ein x-faches an Risikopotenzial, als es zunächst den Anschein haben könnte.
Die Hauptcharakteristiken der 7 Netzebenen im Kontext Datenfluss
- Elektrische Verbundnetze müssen untereinander kommunizieren
- Integration in das World Wide Web (www)
- Integration von mehr Messstellen
- Anwender auf Netzebene 7 (lokales Verteilnetz <1kV) werden zum (App)Spezialisten (z. B. SmartHome, Energiebeschaffung, ...)
- SmartGrid-Anwendungen werden populär und auch eingefordert
- Planung mit Simulation und Trends werden für die Netze immer wichtiger
- Dynamisches Lastmanagement (z. B. Redispatch, …)
- …
Fazit
Die Datenflüsse und Datenmengen häufen sich und sind mit extremen Gefahren als auch Hindernissen verbunden (z. B. Konnektivität).
Welche Strategien zur Daten- und Manipulationssicherheit werden genutzt
- Definition einer firmenspezifischen IT(C) Policy
- Beschäftigung von internen als auch externen IT-Spezialisten in jeweiligen Fachgebieten
- Geschlossene, bzw. isolierte Netzwerke betreiben
- Strikte Befolgung länderspezifischer Richtlinien und Gesetze zum Thema Datenschutz
- Proprietäre Systeme reduzieren (z. B. proprietäre Hersteller-Schnittstellen)
- Einsatz von standartisierten Protokollen (z. B. IEC61850, PQDIF IEEE1159.3, usw.)
- Einsatz von zusätzlichen Softwarelösungen zur Überwachung
- Zentralisierung von Systemen (Hardware, Software, Personal)
- Outsourcing von Leistungen an externe Unternehmen
- Insourcing von Outsourcing-Leistungen
- Segmentierung des Netzes, um mögliche Attacken-Oberfläche zu minimieren
- …..
- …..
- Einsatz auditierbarer Sicherheitsnormen (z. B. ISO 27001, individuell, usw.)
Alle Punkte sind nicht abschliessend!
Einblick in die ISO 27001 – ein praktikabler Ansatz?
Diese Internationale Norm wurde erarbeitet, um Anforderungen für die Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Informationssicherheitsmanagementsystems (ISMS) festzulegen.
Die Einführung eines Informationssicherheitsmanagementsystems stellt für eine Organisation eine strategische Entscheidung dar. Die Erstellung und Umsetzung eines solchen Systems innerhalb einer Organisation richten sich nach deren Bedürfnissen und Zielen, den Sicherheitsanforderungen, den organisatorischen Abläufen sowie nach Größe und Struktur der Organisation. Es ist davon auszugehen, dass sich alle diese Einflussgrößen im Laufe der Zeit verändern.
Das Informationssicherheitsmanagementsystem wahrt die Vertraulichkeit, Integrität und Verfügbarkeit von Information unter Anwendung eines Risikomanagementprozesses und verleiht interessierten Parteien das Vertrauen in eine angemessene Steuerung von Risiken.
Es ist wichtig, dass das Informationssicherheitsmanagementsystem als Teil der Abläufe der Organisation in deren übergreifende Steuerungsstruktur integriert ist und die Informationssicherheit bereits bei der Konzeption von Prozessen, Informationssystemen und Maßnahmen berücksichtigt wird.
Es wird erwartet, dass die Umsetzung eines Sicherheitssystems (ISMS) entsprechend den Bedürfnissen der Organisation skaliert wird.
Zu dieser Norm reiht sich noch die IEC62443. Diese wiederum beschreibt einen gesamtheitlichen Ansatz der Cyber Security. Und dies bis auf die Komponenten-Ebene innerhalb der industriellen Automatisierung.
Das Problem
Eine mögliche Antwort für Monitoring-Anwendungen
Fazit
- Wenn keine CS gehärteten Komponenten eingesetzt werden, muss mehr Kraft in das CS Management investiert werden, um die Cybersecurity in den Griff zu bekommen. Dies ist riskant, da unsichere Komponenten eben auch nicht wirklich auf sichere Weise gemanagt werden können.
- Die Konformitätsprüfung der Cyber Security eines Produktes kostet nur einen Bruchteil der Auslagen für ein Security Management System Zertifikat.
- Viele Hersteller überlassen den Kunden die Kosten für das Security Management anstatt selbst sichere Produkte zu entwickeln.