OT Cyber FAT/SAT
Cyber-Resilienz-Tests für industrielle Kontrollsysteme (FAT/SAT)
> Operative Technologie > OT Cyber FAT/SAT
OT Cyber FAT/SAT für industrielle Kontrollsysteme
Als Betreiber oder Eigentümer von industriellen Kontrollsystemen (ICS) sind Sie für die Überprüfung der Cybersicherheit verantwortlich. Die Überprüfung der Cyber-Anforderungen sollte Teil des Factory Acceptance Test (FAT) und Site Acceptance Test (SAT) sein. Dieser Schritt wird jedoch oft übersehen oder ignoriert, weil die Prüfung der Cybersicherheit schwierig und zeitaufwändig ist.
1. Warum entscheiden Sie sich für Cyber FAT/SAT?
2. Wie wir Sie unterstützen
3. Wie Cyber FAT/SAT in den Projektlebenszyklus passt
4. Wie funktioniert eine Entwurfs- und Sicherheitsüberprüfung?
5. Umfang der Schwachstellenbewertung während des FAT/SAT
6. Ergebnis des Cyber FAT/SAT
7. Ihr nächster Schritt.
Sicherheitsbedrohungen im OT
Unzureichende digitale Widerstandsfähigkeit kann kostspielig oder sogar gefährlich werden. Cyberkriminelle verwenden viele Tools, um OT-Umgebungen (Operational Technology) anzugreifen. Unsere Sicherheitsexperten sehen, dass Ransomware in der OT auftaucht.
Warum Cyber FAT/SAT wählen?
Zwischen der Entwurfs- und Konstruktionsphase und der Betriebs- und Wartungsphase liegen weitere wichtige Phasen, wie die Implementierung und die Inbetriebnahme. Vor allem zwischen diesen Phasen wird ein Werks- und Standortabnahmetest durchgeführt, um zu überprüfen, ob alle Designanforderungen erfüllt werden.
Eine FAT findet am Standort des Lieferanten statt, bevor die fertigen Systeme ausgeliefert werden. Ein FAT beinhaltet umfassende Tests aller Komponenten, um die Übereinstimmung mit den Design- und Projektspezifikationen zu überprüfen und sicherzustellen, dass das System alle Funktions- und Leistungsanforderungen erfüllt. Die Tests werden vom Lieferanten oder Systemintegrator unterstützt und vom Eigentümer der Anlage durchgeführt.
Ein Abnahmetest vor Ort (Site Acceptance Test, SAT) ist ähnlich, findet aber am Standort des Kunden und erst nach der vollständigen Inbetriebnahme/Installation des Systems statt. Damit wird sichergestellt, dass das System ordnungsgemäß, zuverlässig und sicher installiert wurde.
Obwohl die Anforderungen an die Cybersicherheit oft Teil der Entwurfsspezifikationen sind, werden sie bei einer herkömmlichen FAT oder SAT regelmäßig vernachlässigt. Für den Eigentümer oder Betreiber ist es oft zu schwierig, die komplexe Natur all dieser Cybersicherheitsmaßnahmen zu überprüfen. Und man kann nicht erwarten, dass der Lieferant, Integrator oder EPC-Auftragnehmer sein eigenes Design unabhängig verifiziert. Der Cyber FAT/SAT von Bureau Veritas Cybersecurity überbrückt diese Lücke: Wir bieten Unterstützung als unabhängiger Sicherheitsanbieter.
Der Cyber FAT/SAT (CFAT/CSAT) ist eine Erweiterung des konventionellen FAT/SAT mit dem Fokus auf Cybersicherheit. Er kann parallel zum oder nach dem regulären FAT/SAT angesetzt werden. Die Ziele sind ähnlich, aber der Schwerpunkt liegt auf der digitalen Sicherheit.
Wie wir Sie unterstützen
- Sicherstellen, dass die Systeme gemäß den Designspezifikationen und vertraglichen Vereinbarungen installiert und konfiguriert werden
- Überprüfen Sie die ordnungsgemäße Konfiguration und Verstärkung von OT-Anlagen
- Wir testen gründlich, ob die Cyber-Sicherheitskontrollen effektiv funktionieren.
- Erkennen und beheben Sie Sicherheitsprobleme, bevor das System ausgeliefert oder in Betrieb genommen wird.
Secura kann diese Validierungsprüfungen mit zwei Ansätzen oder einer Kombination aus beiden durchführen. Nämlich: durch die Durchführung einer Entwurfs- und Sicherheitsüberprüfung und/oder Penetrationstests (VA/PT). Beide Optionen werden in den folgenden Abschnitten im Detail beschrieben.
Wie sich unsere Cybersicherheitsdienste in den Projektlebenszyklus einfügen
Der Lebenszyklus eines neuen ICS beginnt mit der Erstellung einer Projektspezifikation durch den Eigentümer oder Betreiber. Diese Spezifikation beschreibt natürlich die Hauptfunktionen der neuen Anlage, enthält aber in der Regel auch einige Anforderungen an die Cybersicherheit. Diese können auf der Einhaltung von Sicherheitsrichtlinien des Unternehmens, Industriestandards (IEC 62443) oder geltenden Gesetzen und Vorschriften basieren.
Als nächstes folgt die Entwurfs- und Konstruktionsphase. Auch hier spielt die Cybersicherheit eine entscheidende Rolle. Um sicherzustellen, dass die Sicherheitsanforderungen in das Projekt einbezogen werden und nicht nur ein nachträglicher Gedanke sind, können Sie Risikobewertungen, Bedrohungsmodellierungen und Design Reviews durchführen.
Nach dieser Phase ist das System bereit für die Implementierung. Hier kommen der FAT und der SAT ins Spiel. Der ICS Cyber FAT/SAT von Bureau Veritas Cybersecurity konzentriert sich speziell auf die Verifizierungsschritte, die während der regulären FAT/SAT-Phase eines jeden Projekts üblich sind.
Später im Lebenszyklus, während der Betriebs- und Wartungsphase, wird die Cybersicherheit zu einer fortlaufenden Aktivität. Dadurch wird sichergestellt, dass die Sicherheitsprozesse und die Sicherheitslage der OT-Anlagen kontinuierlich überwacht werden. Außerdem wird so sichergestellt, dass alle digitalen Risiken akzeptabel bleiben. OT-Risikobewertungen, OT-Standortbewertungen und OT-Sicherheitsreifebewertungen sind wichtige Instrumente zur Ermittlung dieser Risiken.
Secura bietet alle oben genannten Dienstleistungen an, die speziell auf die OT-Umgebung und ICS-Systeme zugeschnitten sind, und deckt den gesamten Projektlebenszyklus ab.
Wie eine Entwurfs- und Sicherheitsüberprüfung funktioniert
Eine Entwurfs- und Sicherheitsüberprüfung ermöglicht es Secura, zu überprüfen, ob der implementierte Entwurf und die Konfiguration den Projektspezifikationen entsprechen. Falls erforderlich, überprüfen wir auch die Einhaltung von Industriestandards wie IEC 62443.
Die Netzwerkarchitektur und die Sicherheitskonfiguration werden anhand der Referenzarchitektur des Purdue-Modells sowie anhand von Best Practices der Branche wie Mikrosegmentierung und Zero-Trust-Design überprüft. Secura überprüft auch die Netzwerk- und Firewall-Konfiguration, um sicherzustellen, dass diese Segmentierungsgrenzen effektiv sind.
Für einzelne ICS-Anlagen, wie z.B. Engineering Workstations (EWS), Human Machine Interfaces (HMI), Netzwerkkomponenten und industrielle Steuerungen (z.B. DCS, PLCs, RTUs), bewerten wir die Sicherheitslage und überprüfen, ob sie gemäß den Spezifikationen, Best Practices und Industriestandards konfiguriert sind. Zu diesen Prüfungen gehören: Systemverstärkung, Sicherheits-Patches, Virenschutz, Backups sowie Authentifizierungs- und Autorisierungsprüfungen.
Der FAT wäre der ideale Zeitpunkt, um Design- und Sicherheitsüberprüfungen durchzuführen. So haben Sie mehr Zeit, eventuelle Sicherheitsprobleme zu beheben, bevor die Geräte an den Standort geliefert werden. Wenn die Überprüfung während des FAT durchgeführt werden kann, könnte der Umfang des SAT begrenzt werden. In diesem Fall müssten Sie nur frühere Ergebnisse wiederholen und Geräte und Schnittstellen testen, die nicht Teil der FAT-Einrichtung waren.
Wie Schwachstellenbewertungen und Penetrationstests (VA/PT) zum Aufbau von Widerstandsfähigkeit beitragen
Eine Schwachstellenbewertung und ein Penetrationstest (VA/PT) für OT-Systeme erfordern einen speziellen Ansatz. Bei einer Schwachstellenbewertung geht es darum, durch Scannen und manuelle Bewertung von Systemen, Netzwerkgeräten und Anwendungskonfigurationen so viele Schwachstellen wie möglich zu finden. Im Gegensatz dazu wird ein Penetrationstest aus der Perspektive eines Angreifers durchgeführt. Ziel ist es, diese Schwachstellen auszunutzen, um zu veranschaulichen, welche Auswirkungen diese Sicherheitsprobleme auf die digitale Widerstandsfähigkeit der Umgebung haben würden. Die Ergebnisse beider Bewertungen können dazu verwendet werden, potenzielle Sicherheitsprobleme zu beheben, bevor das System in Betrieb genommen wird.
Ein großer Vorteil der Durchführung dieser Tests im Rahmen der FAT und/oder SAT ist die Möglichkeit, gründlichere Tests durchzuführen. Es ist bekannt, dass viele ICS-Systeme weniger anfällig für Schwachstellen-Scans sind und es daher schwieriger ist, diese Art von Tests durchzuführen, wenn das System in Produktion ist. Die FAT- und SAT-Phasen sind also der ideale Zeitpunkt, um eine gründliche VA/PT-Bewertung durchzuführen. Es ist auch die perfekte Gelegenheit, um zu überprüfen, ob die Verteidigungs- und Überwachungskontrollen effektiv implementiert worden sind.
Lesen Sie auch: Industrial Vulnerability Assessment / Pentesting Service.
Bestimmung des Umfangs von VA/PT während des FAT/SAT
Wie Sie diese Bewertung festlegen, hängt von den vorhandenen FAT- und SAT-Plänen ab. In der Regel ist es unmöglich, das gesamte OT-System während einer FAT einzurichten und zu testen. Feldgeräte, schwere Maschinen, Pakete von Drittanbietern, bestehende Systeme und Verbindungen zum Unternehmensnetzwerk sind normalerweise nicht Teil des FAT. Das Gleiche gilt für mögliche IoT-Verbindungen, Cloud-Anwendungen von Anbietern, sicheren Fernzugriff oder andere Formen der Konnektivität zwischen Systemen, die mit dem IT-Netzwerk oder dem Internet verbunden sind. Daher liegt der Schwerpunkt während des FAT oft auf Schwachstellen-Scans und Penetrationstests der entsprechenden Ressourcen in den Purdue-Stufen 1, 2 und 3. Während des SAT kann dies auf alle externen Schnittstellen und Ressourcen auf Ebene 0, die IT/OT-DMZ und das IT-Unternehmensnetzwerk ausgeweitet werden. Schließlich kann jedes Problem, das nicht sofort im Rahmen des FAT gelöst werden kann, während des SAT erneut getestet werden.
Ergebnis des Cyber FAT/SAT
Secura wird, wenn möglich, dem bestehenden FAT/SAT-Prozess folgen. Wir werden unsere Ergebnisse in die Punch-Liste aufnehmen. Je nach Priorität können diese Probleme vom Lieferanten behoben und während des FAT/SAT erneut getestet werden, während Secura Sie mit Empfehlungen unterstützen kann.
Mehr Informationen
Möchten Sie mehr über unseren OT Cyber FAT/SAT Service erfahren? Füllen Sie das untenstehende Formular aus und wir werden uns innerhalb eines Arbeitstages mit Ihnen in Verbindung setzen
Verwandte Dienstleistungen
Standortbewertung
Bedrohungsmodellierung für industrielle Kontrollsysteme
Warum sollten Sie sich für Bureau Veritas Cybersecurity entscheiden?
Bureau Veritas Cybersecurity ist Ihr kompetenter Partner für Cybersicherheit. Wir unterstützen Unternehmen dabei, Risiken zu identifizieren, ihre Abwehrmaßnahmen zu stärken und Cybersicherheitsstandards und -vorschriften einzuhalten. Unsere Dienstleistungen umfassen Menschen, Prozesse und Technologien, von Sensibilisierungsschulungen und Social Engineering bis hin zu Sicherheitsberatung, Compliance und Penetrationstests.
Wir sind in IT-, OT- und IoT-Umgebungen tätig und unterstützen sowohl digitale Systeme als auch vernetzte Produkte. Mit über 300 Cybersicherheitsexperten weltweit verbinden wir fundiertes technisches Fachwissen mit einer globalen Präsenz. Bureau Veritas Cybersecurity ist Teil der Bureau Veritas Group, einem weltweit führenden Unternehmen im Bereich Prüfung, Inspektion und Zertifizierung.