Das audako Sicherheitskonzept

Prozesse von der Entwicklung bis zur Projektierung nach ISO 27001 ausgerichtet

Die ISO 27001 ist eine Norm, welche die Anforderungen an ein Managementsystem für Informationssicherheit beschreibt. narz hat ein ISMS (Informationssicherheits-Management-System) ohne Einschränkung des Geltungsbereichs für das komplette Unternehmen etabliert. Dementsprechend umfasst es sowohl die Entwicklung als auch die Projektierung, den Betrieb und die Betreuung von durch uns gehosteten wie auch kundengehosteten Instanzen unserer audako IoT Plattform.

Mit Einhaltung der Vorgaben des IT-Sicherheitskatalogs gemäß §11 Absatz 1a EnWG (Energiewirtschaftsgesetz) werden Unternehmen der Energiewirtschaft, vor allem Netzbetreiber im Bereich der kritischen Infrastruktur (KRITIS), beim Einsatz der audako IoT Plattform direkt durch uns als Hersteller bestmöglich unterstützt.

Vor dem Hintergrund verstärkter Cyberangriffe hat IT-Sicherheit für alle Betreiber kritischer Infrastrukturen eine hohe Brisanz. So ist die audako IoT Plattform bestens gerüstet für die Umsetzung der verschiedenen existierenden B3S Branchenstandards, welche verschiedene umzusetzende Sicherheitsmaßnahmen für die jeweiligen Branchen beschreiben. Darunter zum Beispiel für die Sparten Wasser und Abwasser die IT-Sicherheitsleitfäden der Vereinigungen DVGW und DWA (DVGW W 1060 und DWA-M 1060).

Neben den branchenspezifischen Standards und Richtlinien erfüllt audako die für Prozessleitsysteme anwendbare IEC 62443 mindestens auf dem Niveau SL-2 und setzt viele Best Practices aus OWASP, einem offenen Projekt zur Sicherheit von Webapplikationen, um.

Alle Komponenten der audako IoT Plattform wurden mit modernster Softwarearchitektur entwickelt und lassen sich beliebig skalieren. Sowohl die Last teilt sich auf die Anzahl der laufenden Komponenten gleicher Art auf wie auch jede gleichartige Komponente nahtlos den Dienst der ausfallenden Komponente übernimmt.

Die Skalierung kann pro Komponente vorgenommen werden. Unterschiedliche Applikationen nutzen die zugrunde liegenden Komponenten unterschiedlich stark. Bei Applikationen mit dem Schwerpunkt auf historischen Daten bspw. kann unser audako Historian, welcher für die Speicherung und das zur Verfügung stellen von diesen Daten zuständig ist, auf weitere Serversysteme skaliert werden, während alle anderen Komponenten weiterhin lediglich einfach im Gesamtsystem vorhanden sind.

Georedundanz bedeutet die Nutzung von zwei Rechenzentren zum redundanten Betrieb einer Plattform, die sich gemäß Anforderungen des BSI mindestens 200 Kilometer voneinander entfernt befinden. Die audako IoT Plattform unterstützt diesen Betrieb über Rechenzentrumsgrenzen hinweg und ist dabei weder in der Zahl der genutzten Rechenzentren begrenzt noch auf besonders schnelle Verbindungen zwischen den Rechenzentren angewiesen.

Egal ob normaler Benutzer, Betriebsleiter oder Projektierer: alle greifen über die verschlüsselt übertragene Weboberfläche auf die Plattform zu. Bei der HTTPS-/SSL-Verschlüsselung wird auf den modernsten TLS-Standard in der Version 1.3 gesetzt.

Die Datenübertragung zwischen der Plattform und den IoT Edge Gateways wird ebenso verschlüsselt. Die Anbindung der IoT Edge Gateways an das zentrale Netzwerk, in welchem die audako IoT Plattform betrieben wird, erfolgt mittels dem etablierten OpenVPN, auf Kundenwunsch kann hier allerdings auch IPsec eingesetzt werden.

Es erfolgt kein Einsatz von Vermittlern oder anderen Dritten in der Kommunikation, sodass die Kommunikation tatsächlich End-To-End erfolgt. Es wird weder ein Cloud-Dienst von narz noch von Dritten benötigt, wenn der Kunde sich entscheidet seine IoT Plattform selbstständig zu betreiben.

Neben der Kommunikation zwischen den technischen Komponenten wird auch bei der Übertragung von Ereignissen per Fernalarmierung auf Verschlüsselung und die Vermeidung von Dritten in der Kommunikation gesetzt.

Durch sichere IoT Edge Gateways werden OT-Komponenten komplett abgeschottet. IoT Edge Gateways wie unser audako IoT Gateway trennen SPS-Steuerungen und andere Komponenten vom Internet und stellen dennoch einen sicheren Kommunikationskanal zwischen diesen und der audako IoT Plattform her. Unsere IoT Edge Gateways basieren auf einem aktuellen und sicheren Linux-Kernel mit den minimalst notwendigen Kernelmodulen und verfügen auf den WAN-Schnittstellen über keine geöffneten Ports. Zur Verwaltung der Gateways dient eine per verschlüsselter Kommunikation bereitgestellte Weboberfläche. Im Gateway werden die unterschiedlichsten Protokolle aus der Feldebene in ein standardisiertes Protokoll zur Kommunikation mit der audako IoT Plattform umgesetzt. Das zentralisierte Management der IoT Gateways dient dazu diese immer auf dem aktuellen Stand der Software zu halten und so für Sicherheit zu sorgen.

Zu einer modernen Plattform gehört ein ebenso modernes, zentrales Identitätsmanagement. Die audako IoT Plattform nutzt ein Identitäts- und Zugriffsmanagement, welches die aktuellsten, sicheren Standard in diesem Bereich implementiert. Dazu gehören bspw. OpenID Connect und OAuth 2.0.

Selbstverständlich gehören zum Identitätsmanagement sichere Passwortrichtlinien, die darüber bestimmen wie sicher Benutzer ihr Passwort gestalten müssen und wie oft sie dies ändern müssen. Weiter ermöglicht der Einsatz von einem zweiten Faktor zur Authentifizierung von Benutzern eine große Steigerung des Schutzes vor Hackern und Betrügern.

Das zentrale Identitätsmanagement kann außerdem für mehrere Instanzen der audako IoT Plattform eingesetzt werden und unterstützt darüber hinaus ein Single-Sign-On über die verschiedenen Instanzen hinweg. Für den Einsatz im Unternehmensnetzwerk besteht die Möglichkeit einer Anbindung des Identitätsmanagements von audako an LDAP- oder Active-Directory-Verzeichnisdienste.

narz stellt die benötigten Softwarekomponenten für audako Umgebungen in Form von Containern zur Verfügung. Container trennen die Laufzeitumgebung einer Anwendung von der eigentlichen Hostumgebung des Rechnersystems.

Die Container werden im Rahmen des Entwicklungsprozesses auf sogenannten Basis-Images erstellt. Diese Basis-Images stellen eine minimalst lauffähige Linux-Umgebung dar und bilden aufgrund der sehr eingeschränkten Funktionalität eine ebenso kleinstmögliche Angriffsfläche für mögliche Sicherheitslücken. Die Basis-Images verzichten auf sämtliche unnötige Teile des Linux-Kernels und bringen keine vorinstallierten Anwendungen mit. Die zur Verfügung gestellten Container beinhalten neben diesem Basis-Image dann lediglich die für den jeweiligen Container angedachte Softwarekomponente. Im Betrieb werden zwischen dem Container und dem Hostsystem nur absolut notwendige Dateien sowie Netzwerk-Ports ausgetauscht bzw. freigegeben.

Die Images für die Container werden im Rahmen eines ISO 27001 zertifizierten Prozesses in einem nicht-öffentlichen und nur Kunden zugänglichen Software-Depot zur Verfügung gestellt. Damit wird im Gegensatz zur Bereitstellung mit Hilfe öffentlicher Software-Depots der Containerisierungs-Anbieter vermieden, dass ungeprüfte oder gar schadhafte Anwendungen den Weg auf die Systeme finden.

Containerumgebungen können nicht über einen herkömmlichen Installationsprozess mit Sicherheitsupdates & Patches versorgt werden. In Containerumgebunden erfolgt das Aktualisieren der Container durch den Austausch des kompletten Images, dabei bleiben die Anwendungsdaten selbstverständlich erhalten. Durch narz werden permanent freigegebene, getestete Container-Images auf dem aktuellsten Stand mit allen verfügbaren Sicherheitsupdates & Patches zur Verfügung gestellt. Die Containerumgebung kann dabei so konfiguriert werden, dass Container, zu denen ein neues Image zur Verfügung steht, vollautomatisch aktualisiert werden.

Sind Kunden von narz mit der audako IoT Plattform technisch bereits bestens für die Umsetzung eines sehr hohen Schutzniveaus gerüstet, so sind doch im Bereich der IT-Infrastruktur sowie der zugehörigen Dokumentation unzählige Aufgaben zu bewältigen. narz hat durch über 1000 realisierte Projekte mit den unterschiedlichsten Umfängen und Strukturen umfassende Erfahrungen gesammelt und unterstützt seine Kunden mit einem speziell in IT-Sicherheit geschulten Projektierungsteam. Standardisierte Vorgehen und Vorlagen, beispielsweise für die Erstellung von Netzstrukturplänen, sorgen für eine optimale technische wie organisatorische Betreuung aus einer Hand. Immer aktuelle Dokumentationen unterstützen sowohl uns als Dienstleister wie auch Betreiber bei einer raschen Beseitigung von Problemen oder dem schließen von neu aufkommenden Sicherheitslücken. Schulungsmaßnahmen, die durch uns durchgeführt werden, schenken dem Thema IT-Sicherheit besondere Aufmerksamkeit. Awareness-Schulungen setzen Betreiber in die Lage aktuelle Bedrohungen selbstständig zu erkennen und die richtigen Entscheidungen zu treffen.

Mit der audako cloud erhalten unsere Kunden die optimale Umgebung mit fertigen Redundanzkonzept für den Betrieb ihrer Applikation zum Festpreis.

Cyberattacken nehmen weltweit rasant zu. Das Internet der Dinge, Infrastruktur- und Industrieanlagen stellen hier – auch aufgrund ihres oftmals unzureichenden Sicherheitszustandes – sehr beliebte Ziele dar.

DDoS-Angriffe beispielsweise haben als Ziel die Nichtverfügbarkeit eines Dienstes durch mutwillige, von verteilten Endgeräten ausgehende Überlastangriffe. Sie sorgen weltweit zunehmend für Schlagzeilen und übersteigen auch in ihren Dimensionen immer wieder die jeweils zurückliegenden Schadensereignisse. Die Server und Netzwerk-Infrastrukturen verweigern aufgrund der Überlastungen während der Anzahl und der Dauer der Angriffe immer wieder ihre Dienste. Es handelt sich dabei um eine moderne Form der organisierten Kriminalität. Durch ausreichend Kapazitäten und Schutzmechanismen sind moderne Rechenzentrum heutzutage in der Lage solche Angriffe erfolgreich abzuwehren.

narz hat in seinem Rechenzentrum zahlreiche Maßnahmen zur Abwehr von Angriffen umgesetzt, die gerade für kleinere und mittlere Anlagen alleinstehend betrachtet das Budget sprengen. Durch die Vielzahl von Instanzen, die in unserem Rechenzentrum betrieben werden, lassen sich solche Maßnahmen wirtschaftlich sinnvoll umsetzen.

Die audako IoT Plattform basiert im kompletten Funktionsumfang auf reiner HTML5-Technologie und benötigt keinerlei Installationen, Plugins und Addons auf Seite der Nutzer. Ebenso ist das komplette Engineering webbasiert und benötigt zugleich nur einen kompatiblen Webbrowser zur Projektierung.

Durch diesen konsequenten Verzicht auf clientseitige Zusatzkomponenten wird eine Vielzahl von Sicherheitslücken bereits kategorisch vermieden. Gepaart mit den vielen weiteren Maßnahmen, die wir zum Schutz der Nutzer und der Applikationen bereits an anderer Stelle getroffen haben, bieten wir ein sehr hohes Schutzniveau für unsere Kunden.