OT-Security, ein Überblick

Wir sprechen vor allem Betriebe im öffentlichen Verkehr an. Im Zentrum steht die Sicherheit operationeller Systeme, also OT-Security. Hier geht es um IT-Sicherheit, die sich von «Safety» unterscheidet, aber teilweise auch ähnliche Aspekte hat. Auch nicht-operationelle Systeme müssen hinsichtlich IT-Sicherheit gehärtet werden. Viele Dinge können von diesem Bereich übernommen werden. Es gibt bereits viele Leitfäden und Verfahren zur Sicherheit.

Was hat sich im Vergleich zu früher geändert?

Es ist erstaunlich, wie die Diskussion über OT-Security in den letzten Jahren an Fahrt aufgenommen hat und wie die Zahl der Meldungen zu erfolgreichen Hackerangriffen in unserer Wahrnehmung exponentiell zunimmt. Was hat sich geändert?
 

• Der Grad der Automatisierung nimmt immer weiter zu, vor allem, um Flexibilität und Reaktionsgeschwindigkeiten zu erhöhen - ein enormes Plus
• Flexibilität verlangt aber auch bessere Kommunikation, folglich ist ein höherer Grad an Integration notwendig und immer mehr Geschäfte, auch ausserhalb des Bahnbetriebs, werden in immer grösseren Verbunden zugeschaltet
• Die eingesetzten Systeme zur Planung und für den Betrieb werden entweder durch komplexere Systeme ersetzt oder ergänzt, wobei neue Systeme nicht primär auf Langlebigkeit konzipiert sind, sondern auf Funktionalität, wie auch immer diese definiert wird
• Der Produktzoo und die Kurzlebigkeit von Ausrüstung oder technischen Details (Protokolle etc.) macht es enorm schwierig, alles intern unter kompletter Kontrolle zu halten und eine abschliessende Übersicht zu erlangen
• Die Situation ist nicht viel besser bei Lieferanten, die selbst auf Leistungen Dritter angewiesen sind
• Die Möglichkeit, von unterwegs oder von zu Hause aus zu arbeiten, birgt Risiken
• Eine Verschiebung in Sachen Kommunikation erfolgt auch innerhalb der Systeme, mit entsprechenden Risiken 
   

Wir empfehlen Ihnen, Vorkehrungen zu treffen und damit die Risiken mit vertretbarem Aufwand zu senken. So lassen sich Ausfälle besser abfedern. Unsere Kunden standen nicht nur Hackerangriffen gegenüber, auch Hardwareausfälle, gelöschte Konfigurationen oder gescheiterte Updates führten zu langen Unterbrüchen. Dann dauerte es, bis der Normalbetrieb wieder aufgenommen werden kann. Denn was oft fehlt, sind eine gute Dokumentation und klare Abläufe zur Wiederherstellung.

Betrachtet man nur IT-Vorfälle durch Hacking-Aktivitäten, ist man insgesamt mit immensen Schäden konfrontiert. Es ist klar, dass jemand dafür aufkommen muss und auch, dass nicht jedes Unternehmen derartige Vorfälle überlebt. Mehr Massnahmen in den Bereichen IT- und OT-Sicherheit sind also sinnvoll.

Standards (insbesondere CL 50701 für Eisenbahnunternehmen) bieten eine gute Basis, insbesondere bei der Einordnung von Risiken. Die praktische Umsetzung von Massnahmen muss jedoch individuell auf den jeweiligen Betrieb zugeschnitten werden. Zu berücksichtigen ist auch, dass all diese Aktivitäten primär der Unterstützung der Geschäftsziele dienen müssen.

Neben einem Zusammenschluss mit anderen Unternehmen ähnlicher Grösse ist die Einbeziehung externer Expert:innen eine Möglichkeit, zielgerichtet vorzugehen und Know-how einzuholen. Gern unterstützen wir Sie dabei.