Phoenix Contact erhält Zertifikat vom TÜV Süd

Phoenix Con­tact wurde vom TÜV Süd als eines der ersten Unternehmen in Deutsch­land nach der Norm­rei­he für IT-Sicher­heit IEC 62443–4‑1 und 2–4 zer­ti­fiziert. Dies bestätigt, dass das Unternehmen:

• die Entwick­lung von Secure-by-Design-Pro­duk­ten entsprechend dem Prozess IEC 62443–4‑1, sowie
• das Design von sicheren Automa­tisierungslö­sun­gen entsprechend dem Prozess IEC 62443–2‑4

durch­führt.

Diese Zer­ti­fizierun­gen unter­stre­ichen die Strate­gie von Phoenix Con­tact, stan­dar­d­isierte Secu­ri­ty in Pro­duk­ten, Indus­trielö­sun­gen und Beratungs­di­en­stleis­tun­gen anzu­bi­eten, um einen zukun­ftssicheren Betrieb von Maschi­nen, Anla­gen und Infra­struk­turen zu ermöglichen.

Bei Secure-by-Design-Pro­duk­ten wer­den Sicher­heit­san­forderun­gen an Soft- und Hard­ware schon während der Entwick­lungsphase eines Pro­duk­tes berück­sichtigt. So wer­den spätere Sicher­heit­slück­en ver­hin­dert. Diese Sicher­heitsmech­a­nis­men wer­den immer wichtiger, da Geräte und Sen­soren zunehmend über das Inter­net ver­net­zt sind. Da immer mehr Prozesse über Soft­ware laufen, öff­nen sich neue Angriffsflächen.

Die zen­tralen Ele­mente in der Norm zur IT-Sicher­heit Teil 4–1und 2–4 sind zum einen eine Bedro­hungs- und Risiko­analyse auf Basis des Anwen­dungsszenar­ios. D.h. es wer­den für Geräte und Sys­teme Anwen­dungs­beispiele und die erforder­lichen Här­tungs­maß­nah­men fest­gelegt. Für Automa­tisierungslö­sun­gen wird ein Sicher­heit­skonzept mit den erforder­lichen Schutz­maß­nah­men erar­beit­et. Zum anderen wird ein Pro­dukt- oder Lösungsen­twick­lung­sprozess etabliert, mit dem sich­er nachvol­l­zo­gen wer­den kann, dass alle iden­ti­fizierten Secu­ri­ty-Anforderun­gen imple­men­tiert, ver­i­fiziert und doku­men­tiert werden.

Zusät­zlich sind Geräte­hersteller dazu aufge­fordert, auf Secu­ri­ty-Schwach­stellen angemessen zu reagieren und ver­lässlich Secu­ri­ty-Updates zu veröf­fentlichen. Diese Anforderung wird bei Phoenix Con­tact durch das neu etablierte Prod­uct Secu­ri­ty Inci­dent Response Team (PSIRT) über­nom­men. Dieses Team informiert Anwen­der von Phoenix Con­tact-Pro­duk­ten über bekan­nte Sicher­heit­slück­en und ist zur gle­ichen Zeit die Stelle, bei der Anwen­der gefun­dene Sicher­heit­slück­en ver­traulich melden kön­nen. PSIRT hält sich bei der Bear­beitung, Bew­er­tung und Veröf­fentlichung von Reports und Updates an die Prozess­kette, die in der IEC 62443 gefordert wird.

„Bere­its im Herb­st 2018 wurde der Entwick­lung­sprozess für Pro­duk­te bei Phoenix Con­tact nach der Norm IEC 62443–4‑1 zer­ti­fiziert. Damit ist Secure-by-Design bei uns fes­ter Bestandteil bei der Entwick­lung eines Secu­ri­ty-Pro­duk­tes“ hebt Roland Bent, CTO Phoenix Con­tact, die Maß­nah­men im Unternehmen her­vor. „Der näch­ste kon­se­quente Schritt ist nun auch getan. Mit der jet­zt erfol­gten Zer­ti­fizierung wird bestätigt, dass unser Branchen-Mark­t­man­age­ment sichere Automa­tisierungslö­sun­gen für unsere Kun­den, entsprechend der Norm IEC 62443–2‑4, entwick­eln und umset­zen kann.“

Cyber Security ist in jeder Industrie relevant

Egal ob Her­steller oder Betreiber, Indus­trie oder kri­tis­che Infra­struk­tur – das The­ma Cyber Secu­ri­ty ist für alle wichtig. Die Welt der Automa­tisierung­stech­nik wächst immer stärk­er mit der Welt der IT zusam­men. Anla­gen­gren­zen ver­schwim­men, die Menge der ver­füg­baren Dat­en steigt und der Aus­tausch von Dat­en und Infor­ma­tio­nen wächst kon­se­quent an. Diese zunehmende Ver­net­zung und Anbindung indus­trieller Steuerungs- und Automa­tisierungssys­teme (ICS) an das Inter­net sorgt auch dafür, dass diese zunehmend Cyber-Angrif­f­en aus­ge­set­zt sind.

Die Fer­n­wirk­tech­nik ist ein wesentlich­er Bestandteil der Automa­tisierung wasser­wirtschaftlich­er Anla­gen. In Zuge der Dig­i­tal­isierung bieten Eth­er­net-basierte Lösun­gen vielfältige Vorteile, bein­hal­ten ander­er­seits jedoch einige Her­aus­forderun­gen. Via Eth­er­net wer­den oft­mals Dat­en mit den Außen­bauw­erken aus­ge­tauscht. Allerd­ings kann die Eth­er­net-basierte Ver­net­zung eben­falls einge­set­zt wer­den, um die Ver­füg­barkeit der Tech­nik erhe­blich zu bee­in­flussen. Fast jeden Tag bericht­en die Medi­en von Angrif­f­en mit Schad­soft­ware und deren gravieren­den Fol­gen. Die Dig­i­tal­isierung der Prozesse muss also unbe­d­ingt mit ein­er guten Strate­gie zur Umset­zung der IT-Sicher­heit einhergehen.

Energiev­er­sorgung und Net­zs­teuerung sind Teil der Kri­tis­chen Infra­struk­turen (KRITIS) in Deutsch­land. Fehlen Strom und Gas, kommt das öffentliche Leben inner­halb kürzester Zeit zum Erliegen und leben­snotwendi­ge Dien­stleis­tun­gen kön­nen nicht mehr erbracht wer­den. Die Funk­tions­fähigkeit der Energiev­er­sorgung ist von ein­er intak­ten Infor­ma­tions- und Kom­mu­nika­tion­stech­nolo­gie abhängig. Dies macht IT-Sicher­heit in der Energiebranche essentiell.

IEC 62443

Die Norm IEC 62443 ist eine Serie von Doku­menten und befasst sich mit der IT-Sicher­heit soge­nan­nter „Indus­tri­al Automa­tion and Con­trol Sys­tems (IACS)“. Der Begriff IACS ste­ht dabei für alle Bestandteile, wie Sys­teme, Kom­po­nen­ten und Prozesse, die für den sicheren Betrieb ein­er automa­tisierten Pro­duk­tion­san­lage erforder­lich sind. Durch ihre spez­i­fis­che Aus­rich­tung auf den Indus­triebere­ich set­zt sich die IEC 62443 auch markant von der ISO 27001 ab, welche sich eher mit klas­sis­chen IT-Sys­te­men beschäftigt.