Die Betriebstechnik im ISMS, ohne zweites Inventar
Eine Steuerung ist kein Server, und die Frage „welchen Security Level hat unsere Produktion" hat keine einstellige Antwort. IEC 62443 verlangt Zonen mit gemeinsamem Schutzbedarf, Conduits als einzige erlaubte Wege dazwischen und je Zone ein Sicherheitsniveau, das ein Vektor über sieben Grundanforderungen ist: Ziel und Ist, je FR 1 bis FR 7. Das Modul führt genau das, und es legt dafür kein zweites Inventar an: Jedes OT-Gerät bleibt ein IT-System des Bestands mit seinen Netzen, Räumen, Schwachstellen und Risiken und bekommt ein OT-Profil dazu, mit Gerätetyp, Purdue-Ebene, Firmware-Stand, Herstellersupport und Safety-Relevanz. Darauf bauen Risikobeurteilung, Katalog, Fernwartungsregister, Patch-Entscheidungen und Sensor-Alarme auf.
Das Sicherheitsniveau einer Zone steht als Vektor da, „SL 2 {3 2 2 1 2 1 2}", Ziel und Ist getrennt. Die Lücke wird je Grundanforderung gerechnet und erscheint rot, sobald sie irgendwo größer als null ist. Fehlt das Ist an der Zone, gilt das Minimum der Gerätefähigkeiten, und ohne beides gibt es keine Lücke, nur den Hinweis.
IT-Systeme führen keine Firmwareversion, deshalb griff das CSAF-Matching bei Steuerungen ins Leere. Das OT-Profil liefert dem Matching Hersteller, Produkt und Firmware als Kandidaten, und aus jedem Treffer wird eine Patch-Entscheidung mit Frist nach Schwere. Verlangt das Profil die Herstellerfreigabe, entsteht ohne sie kein Change und kein Rollout-Ziel.
Was zwischen zwei Zonen läuft und in keinem Conduit steht, ist ein Verstoß. Sensor-Alarme von Claroty, Nozomi oder Dragos werden über das SIEM in das Zonenmodell eingeordnet, beobachteter Verkehr wird in der Kommunikationsmatrix gegen die Conduits gehalten, und Conduits mit Durchsetzung „keine" zählt das Cockpit gesondert.
Die Betriebstechnik steht im selben ISMS wie die IT, mit einem Sicherheitsniveau, das je Zone und Grundanforderung nachweisbar ist, statt einer Zahl auf einer Folie.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
