Ein Niveau, sieben Zahlen

Die Frage kommt im Audit, in der Ausschreibung und vom Versicherer: „Welchen Security Level hat Ihre Produktion?" Wer „SL 2" antwortet, hat die Norm nicht gelesen. Wer „kommt drauf an" antwortet, hat sie gelesen, klingt aber nicht so.

Vier Stufen, definiert über den Angreifer

IEC 62443 beschreibt Security Level 1 bis 4 nicht über Maßnahmen, sondern über den, gegen den sie halten sollen. SL 1 schützt gegen zufällige oder beiläufige Verletzung. SL 2 gegen absichtliche Angriffe mit einfachen Mitteln, geringen Ressourcen und allgemeinen Fähigkeiten. SL 3 gegen fortgeschrittene Mittel, moderate Ressourcen und Fähigkeiten, die auf industrielle Steuerungssysteme zugeschnitten sind. SL 4 gegen dasselbe mit erweiterten Ressourcen und hoher Motivation.

Das ist der erste Grund, warum eine Zahl allein nichts sagt: Sie beschreibt einen Gegner, nicht einen Zustand.

Sieben Grundanforderungen

Der zweite Grund ist, dass die Norm den Schutz in sieben Foundational Requirements zerlegt: Identifizierung und Authentisierung, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, eingeschränkter Datenfluss, rechtzeitige Reaktion, Verfügbarkeit der Ressourcen. Zu jeder gehören Systemanforderungen mit einem Mindestlevel, ab dem sie gelten.

Eine Produktionszelle kann bei der Verfügbarkeit SL 3 brauchen und bei der Datenvertraulichkeit SL 1, weil die Rezeptur ohnehin auf dem Typenschild steht. Das Sicherheitsniveau einer Zone ist deshalb ein Vektor aus sieben Werten. In der Schreibweise der Norm: SL 2 {3 2 2 1 2 1 2}. Die Zahl vor der Klammer ist das Minimum, die Klammer ist die Aussage.

Drei Buchstaben

Der dritte Grund: Es gibt nicht ein Niveau, sondern drei. SL-T ist das Ziel, das aus der Risikobeurteilung kommt. SL-A ist, was die Zone tatsächlich erreicht. SL-C ist, was ein einzelnes Gerät nach 62443-4-2 überhaupt leisten kann, und das steht nur im Herstellernachweis, nicht im Datenblatt des Vertriebs.

Die Lücke ist Ziel minus Ist, je Grundanforderung. Sieben Subtraktionen, und jede kann rot sein, während das Minimum vor der Klammer grün bleibt.

Wo das Ziel herkommt

Das Ziel wird nicht gewählt, es wird beurteilt. IEC 62443-3-2 verlangt zuerst die Zerlegung in Zonen mit gemeinsamem Schutzbedarf und Conduits als einzige erlaubte Wege dazwischen. Dann je Zone die schlimmste plausible Auswirkung je Schadensdimension und das Risiko, das die Organisation zu tragen bereit ist. Daraus folgt der Vorschlag für den Ziel-Vektor, den die Bedrohungsszenarien bestätigen oder verschieben. Erst die Freigabe schreibt ihn in die Zone.

Genau so führt das Modul OT-Sicherheit in isidaten die Beurteilung, in fünf Schritten mit Freigabe als eigenem Recht. Ohne Beurteilung bleibt das Ziel leer, und das Cockpit zählt die Zone als „ohne Ziel-SL". Ein leeres Feld ist hier ehrlicher als eine geratene 2.

Kein zweites Inventar

Die meisten OT-Werkzeuge beginnen mit einem eigenen Asset-Bestand, und dann gibt es die Steuerung zweimal. Das Modul legt deshalb keines an: Jedes OT-Gerät bleibt ein IT-System des Bestands, mit seinen Netzen, Schwachstellen und Risiken, und bekommt ein OT-Profil dazu, mit Gerätetyp, Purdue-Ebene, Zone, Firmware, Herstellersupport, Safety-Relevanz und wahlweise SL-C. Fehlt der Zone das Ist, nimmt das Modul das Minimum der Gerätefähigkeiten. Fehlt beides, gibt es keine Lücke, nur den Hinweis.

Warum die Steuerung auf keiner Liste stand

Ein Detail, das beim Bauen aufgefallen ist: IT-Systeme führen keine Firmwareversion. Das Advisory-Matching gegen die CSAF-Meldungen der Hersteller griff bei Steuerungen deshalb ins Leere, nicht weil es keine Schwachstellen gab, sondern weil das Feld fehlte, gegen das man hätte prüfen können.

Das OT-Profil liefert dem Matching jetzt Hersteller, Produkt und Firmware als Kandidaten. Aus jedem Treffer wird eine Patch-Entscheidung mit Frist nach Schwere. Und wo das Profil die Herstellerfreigabe verlangt, bei Maschinen mit Gewährleistung die Regel, entsteht ohne sie weder ein Change noch ein Rollout-Ziel. Kompensation oder Akzeptanz mit Begründung bleiben, ein stiller Patch nicht.

Die Prüffrage

Welche Zone Ihrer Produktion hat ein freigegebenes Ziel-Niveau, und für welche der sieben Grundanforderungen kennen Sie das Ist?

Wenn die Antwort eine einzelne Zahl ist, ist sie die Antwort auf eine andere Frage.

Quellen

IEC 62443-3-2: Security risk assessment for system design (Zonen, Conduits, Ziel-SL). IEC 62443-3-3: System security requirements and security levels (FR 1 bis FR 7, SL 1 bis 4). IEC 62443-4-2: Technical security requirements for IACS components (SL-C). BSI IT-Grundschutz, Bausteine IND.1, IND.2.1 und IND.3.2 (Edition 2023).