IEC 62443: Zonen und Conduits, erklärt für Betriebsleiter

Die meisten Betriebsleiter begegnen der IEC 62443 als Satz in einer Ausschreibung oder als Feststellung in einem Audit: Das Leitsystem ist in Zonen und Conduits zu gliedern. Das klingt nach Papierarbeit. Für mich ist es der nützlichste Teil der ganzen Normenreihe.

Eine Zone fasst zusammen, was gleich geschützt werden muss

Die IEC 62443 definiert eine Zone als Gruppe logischer oder physischer Komponenten mit gemeinsamen Sicherheitsanforderungen. Praktisch heißt das: Geräte, bei denen ein Angriff die gleichen Folgen hätte und die man als Einheit verteidigen kann. Die Steuerungen und das Bedienpanel einer Prozesslinie können eine Zone bilden. Das sicherheitsgerichtete System (SIS) ist fast immer eine eigene Zone. Der Historian und die Server, die Daten mit dem Büronetz austauschen, gehören wieder in eine andere.

Eine Zone fällt oft mit einem VLAN, einem Raum oder einer Ebene des Purdue-Modells zusammen, ist aber etwas anderes: eine Entscheidung über Risiko. Allem innerhalb der Zone wird im gleichen Maß vertraut, und alles darin muss dasselbe Ziel-Security-Level erreichen.

Ein Conduit ist jeder Weg zwischen zwei Zonen

Ein Conduit bündelt die Kommunikationskanäle, die Zonen verbinden und dieselben Sicherheitsanforderungen haben. Das Kabel zwischen Leitzone und DMZ ist ein Conduit. Ebenso die Fernwartungssitzung des Herstellers, der Laptop des Inbetriebnehmers, der USB-Stick, mit dem ein Rezept aus dem Büro in die Anlage wandert, und die Funk- oder Serienverbindung zu einer Außenstation. Wo Daten oder Befehle von einer Zone in eine andere gelangen können, gibt es einen Conduit, ob ihn jemand eingezeichnet hat oder nicht.

Die Norm verlangt für jeden Conduit dreierlei: dass man ihn kennt, dass man festlegt, was ihn passieren darf, und dass diese Festlegung technisch durchgesetzt wird. Das kann eine Firewall sein, deren Regeln das Industrieprotokoll verstehen, eine Datendiode, wo Daten die Anlage nur verlassen sollen, oder ein Sprungserver mit persönlichen Konten für die Fernwartung.

Security Level: was eine Zone aushalten muss

Jede Zone und jeder Conduit erhält ein Ziel-Security-Level von SL 1 bis SL 4. SL 1 schützt vor zufälligem oder versehentlichem Missbrauch, SL 2 vor einem absichtlichen Angriff mit einfachen Mitteln und allgemeinen Kenntnissen. SL 3 richtet sich gegen einen versierten Angreifer mit Wissen über Leitsysteme und mittleren Ressourcen, SL 4 gegen denselben Angreifer mit umfangreichen Ressourcen, praktisch also gegen staatliche Akteure.

Die IEC 62443-3-2 beschreibt, wie das Ziel-Level aus einer Risikobeurteilung abgeleitet wird. Die IEC 62443-3-3 nennt die Systemanforderungen für jedes Level, gegliedert in sieben Grundanforderungen: Identifizierung und Authentifizierung, Nutzungskontrolle, Systemintegrität, Vertraulichkeit der Daten, eingeschränkter Datenfluss, rechtzeitige Reaktion auf Ereignisse und Verfügbarkeit der Ressourcen. In Zonen und Conduits wird der eingeschränkte Datenfluss greifbar.

Für den Betriebsleiter heißt das: Nicht jede Zone braucht SL 3. Eine Verpackungslinie und die Turbinensteuerung verdienen nicht dasselbe Budget, und über Zonen lenkt man das Geld dorthin, wo die Folgen liegen.

Wie man sie in einer echten Anlage einzeichnet

Mit der Bestandsaufnahme beginnen, nicht mit dem Netzplan

Der Netzplan zeigt, wie die Anlage gebaut werden sollte. Die Bestandsaufnahme zeigt, was wirklich da ist. Bei meinen Risikoanalysen ist das erste Ergebnis eine vollständige Erfassung von Steuerungen, Stationen, Servern, Switches, Firewalls und Dioden, erstellt mit Werkzeugen, die die Geräte selbst abfragen. In den Kraftwerken von ICL wurde diese Erfassung zur Grundlage des Berichts an die Aufsichtsbehörde. Zonen ohne Bestandsaufnahme übersehen das vergessene Modem und die zweite Netzwerkkarte im Historian.

Nach Folgen und Funktion gruppieren

Für jede Gruppe von Komponenten lautet die Frage: Was passiert, wenn ein Angreifer sie kontrolliert? Komponenten einer Prozesseinheit bleiben zusammen, Sicherheitstechnik wird von der Leittechnik getrennt, und alles mit Verbindung zum Büronetz kommt in eine eigene Zone. Auch die Zuständigkeit zählt: Eine Maschine, die ein Hersteller per Vertrag wartet, verdient oft eine eigene Zone, weil dort ein fremder Laptop angeschlossen wird.

Jeden Datenfluss auflisten, dann die Conduits benennen

Für jedes Zonenpaar wird festgehalten, was zwischen beiden fließen muss: welches Protokoll, in welche Richtung, zwischen welchen Rechnern und wie oft. Was nicht auf der Liste steht, wird gesperrt. In diesem Schritt zeigen sich die meisten Überraschungen, etwa ein Büro-PC, der direkt auf eine Steuerung schreibt, weil das vor Jahren bequem war.

Ziel-Level festlegen und mit der Wirklichkeit vergleichen

Jede Zone und jeder Conduit bekommt aus der Risikobeurteilung ein Ziel-Level, das dann mit dem verglichen wird, was die installierte Technik tatsächlich leisten kann. Die Differenz ist die Maßnahmenliste, sortiert nach Folgen und nicht danach, was sich am leichtesten beschaffen lässt.

Auf zwei Seiten dokumentieren

Ein gutes Ergebnis besteht aus einem Bild und einer Tabelle. Das Bild zeigt Zonen und Conduits. Die Tabelle nennt für jede Zone die Komponenten und das Ziel-Level, für jeden Conduit die erlaubten Datenflüsse und das Gerät, das sie durchsetzt. Wenn der Betrieb es nicht lesen kann, pflegt es niemand.

Häufige Fehler

• Eine einzige große OT-Zone. Die ganze Anlage hinter einer Firewall trennt IT und OT, ein guter Anfang. Ist ein Angreifer aber einmal drin, erreicht er alles.
• Zonen aus dem IP-Plan abgeschrieben. VLANs wurden nach Verkehr und Bequemlichkeit angelegt, nicht nach Folgen. Sie eignen sich zur Umsetzung von Zonen, nicht zu ihrer Festlegung.
• Vergessene Conduits. Fernwartung, Herstellerlaptops, Wechseldatenträger, Funkstrecken und der Weg zum Historian sind ebenfalls Conduits, und Angreifer nutzen gerade die, die niemand eingezeichnet hat.
• Conduits nur auf dem Papier. Eine Firewall zwischen zwei Zonen mit einer Regel „alles erlaubt“ ist eine Zeichnung, keine Schutzmaßnahme.
• Das SIS in der Leitzone. Das sicherheitsgerichtete System schützt Menschen und Anlage, wenn die Leittechnik versagt. Es braucht eine eigene Zone und den strengsten Conduit am Standort.
• Ein Modell, das nie aktualisiert wird. Anlagen ändern sich bei jedem Stillstand. Das Zonenmodell gehört ins Änderungsmanagement, sonst beschreibt es bald eine Anlage, die es nicht mehr gibt.

Der erste Schritt

Man braucht kein vollständiges IEC-62443-Programm, um von Zonen und Conduits zu profitieren. Drei Fragen genügen für den Anfang. Gibt es eine aktuelle Bestandsaufnahme jedes Geräts im Leitnetz? Können wir jeden Weg ins Leitnetz aufzählen, einschließlich Fernwartung und Wechseldatenträgern? Ist das sicherheitsgerichtete System von allem anderen getrennt? Lautet eine Antwort nein, ist das Ihr erstes Projekt.

Im ICS-Sicherheitskurs ist das eine Übung am Whiteboard: ein Anlagennetz von Hand segmentieren, bevor jemand eine Firewall anfasst. Dieselbe Übung mache ich mit Kunden in ihrer eigenen Anlage, als Beginn einer OT-Sicherheitsarchitektur. Für Betreiber in Deutschland ordnet die Seite OT-Sicherheit für KRITIS-Betreiber das in NIS2UmsuCG und IT-Grundschutz ein.