Der Patch Management-Prozess für Operations

Nur Bekanntes lässt sich patchen

Eine Geräteinventur ist keine neue Idee. Vielleicht haben Sie bereits intern Inventuren durchgeführt oder sogar ein externes Unternehmen hiermit beauftragt. Wirklich alles zu erfassen, ist jedoch leichter gesagt als getan. Viele Unternehmen haben hierbei Schwierigkeiten.

Es gibt zwei Inventurverfahren. Um die Sicherheit von Industriesteuerungssystemen zu gewährleisten, müssen beide durchgeführt werden.

• Den größten Teil erledigen elektronische Inventur-Tools, die ihr Netzwerk scannen und Geräte automatisch ermitteln.
• Der Rest wird manuell ermittelt. Dies erfordert eine herkömmliche Inventur durch Mitarbeiter vor Ort.

A watch out here is to take both approaches at all of your locations. If only complete at nine of your 10 sites, I can just about guarantee the breach is coming through the one that was overlooked.

Ausarbeiten einer umfassenden Patching-Strategie

Aus der Inventur ergibt sich unter Umständen, dass Sie sich um Tausende Geräte kümmern müssen. Zum Glück sind nicht alle Geräte gleich. Der nächste Schritt besteht in einer Risikoanalyse. Hierbei wird anhand von Bedeutung, Gefährdung, Alter, Risikoprognose usw. ermittelt, welche Geräte unbedingt gepatcht werden müssen. Einige Anlagen haben überhaupt keine Netzanbindung. Sind sie wirklich gefährdet?

Es gibt zwei Arten von Patches, um die Sie sich kümmern müssen.

1. Das Betriebssystem-Patching ist seit langem eine Routineaufgabe in der IT. Sie müssen das OS-Patching im Fertigungsbereich auf geplante Ausfallzeiten abstimmen, um die Beeinträchtigungen so gering wie möglich zu halten. In vielen Fällen bietet sich hier eine proaktive Zusammenarbeit zwischen IT und OT an.
2. Patching auf Anwendungsebene ist ein anderes Thema. Mitunter geht es hier um Hunderte Anwendungen von unterschiedlichen Anwendern mit jeweils eigenen Patches. Sie müssen die Patches von den Anbieterwebsites zusammensuchen, sich über die zugehörigen Sicherheitslücken informieren und entscheiden, ob Sie die Patches benötigen.

Weil die Anwendungen jeweils eigene Konfigurationen aufweisen, erfordert das Patching auf Anwendungsebene ein wohlüberlegtes, konsistentes Testverfahren. Dieses muss vor der Implementierung im Fertigungsbereich in einer Testumgebung durchgeführt werden, da es andernfalls zu ungewollten Betriebsunterbrechungen kommen kann.

Systematisches Patch Management

Die Lebensmittel und -Getränkeindustrie agiert viel zu häufig nach dem Motto „Augen zu und durch“. Dabei mangelt es häufig nicht am Willen, sondern an den passenden Ressourcen und Spezialisten. Im Allgemeinen wird nur reagiert. Das heißt, wenn die Verfügbarkeit eines wichtigen Patches gemeldet wird, muss die Produktion eben unterbrochen werden.

Der Ablauf sieht häufig so aus:

• Operations beauftragt die IT mit dem OT-Patching.
• Die IT übernimmt, jedoch fehlt es an Kenntnis des Industriesteuerungssysstems und den Mitarbeitern zum Adressieren der spezifischen Anforderungen und Einschränkungen.
• Also werden Mitarbeiter eingestellt, die IT- und OT-Rollen zugleich erfüllen können oder es erfolgt ein Outsourcing an Unternehmen wie Rockwell Automation.

Wenn Sie sich für einen Drittanbieter entscheiden, sollten Sie sich einen Partner mit umfassender Erfahrung im Bereich Operations suchen. Entscheidend ist beispielsweise die im Service Level Agreement (SLA) angegebene Reaktionszeit. Herkömmliche IT-Anbieter messen ihre Reaktionszeit in Stunden. In der Konsumgüterindustrie würden derartige Ausfallzeiten Verluste in Millionenhöhe bedeuten. Operations benötigt SLA-Reaktionszeiten in Minuten.

Das Endspiel um die Sicherheit von Industriesteuerungssystemen

Patch Management ist ein Schritt beim Aufbau eines Security Operations Center (SOC). Ein SOC bietet einen umfassenden Überblick über die Sicherheitslage, übernimmt die Disaster Recovery und gewährleistet den optimalen Betrieb ihrer vernetzten Anlage.

Zusätzlich stehen „Whitelisting“-Lösungen für den Schutz von Endgeräten zur Verfügung.  Diese Lösungen können das Patching zwar nicht vollständig ersetzen, bieten jedoch während der Entwicklung einer Patching-Strategie ausreichend Zeit.

Es gibt kein Patentrezept für Cybersicherheit. Genau deswegen benötigen Sie eine Defense-In-Depth-Strategie. Auch weil mehr als nur der Unternehmensgewinn auf dem Spiel steht, ist „Augen zu und durch“ keine annehmbare Vorgehensweise. Es geht um die Sicherheit von Lebensmitteln und Mitarbeitern. Wenn Sie Hilfe bei der Ausarbeitung oder Weiterentwicklung eines eigenen Programms benötigen, sind wir selbstverständlich für Sie da.