Während das Deutsche nur den Begriff Sicherheit kennt, ist die englische Sprache dabei etwas genauer und unterscheidet zwischen Safety und Security, mit denen die unterschiedlichen Aspekte von Sicherheit genauer definiert sind. Safety bezieht sich auf die Zuverlässigkeit eines Systems, speziell in Bezug auf dessen Ablauf- und Ausfallsicherheit. Security bezeichnet dagegen den Schutz eines Systems vor Angriffen.
In der heutigen digitalisierten Welt sind die beiden Begriffe unmittelbar miteinander verbunden. Denn wenn Automationssysteme mit IT-Systemen gekoppelt sind, kann ein Cyberangriff direkte Auswirkungen auf die Safety haben. Kann ein Roboter zum Beispiel remote ferngesteuert werden, wird er dadurch zur direkten physischen Gefahr für die daneben tätigen Mitarbeiter. Für die Industrie 4.0 gilt daher: Ohne höchstmöglichen Cyberschutz ist keine hundertprozentige Safety möglich.
Cyberschwachstellen und Angriffsflächen gibt es leider jedoch mehr als genug. Dazu gehören über das Internet verfügbare Systeme und Lücken im Equipment industrieller Kontrollsysteme ebenso wie Schadprogramme, DDoS-Angriffe, USB-Anschlüsse und Cyberangreifer.
Security-by-Design fürs IoT
IoT-Geräte basieren meist auf verbreiteten Betriebssystemen wie Android oder Linux und sind mit vielen – vielleicht auch zu vielen – Funktionen ausgestattet. Bei der Entwicklung der vernetzten Geräte fehlt leider oftmals der Blick auf mögliche Cyberrisiken wie verschiedene Schwachstellen, die per Design, unzulänglicher Implementierung und unsachgemäßer Nutzung vorhanden sind. Ähnliches gilt auch beim Cyberschutz industrieller Steuerungssysteme. Auch hier sind Security-Updates nachträglich schwer zu realisieren.
Bei der Entwicklung neuer Anwendungen und Geräte im Embedded-Bereich sollten daher Security-by-Design und eine professionelle Cybersicherheitsstrategie von Beginn an auf der Agenda stehen. Dazu gehören passende IoT-Sicherheitsrichtlinien, die aufgrund anderer Funktionalitäten und der allgegenwärtigen Vernetzung anders gestaltet werden müssen als die von gewöhnlichen Unternehmensnetzwerken. Hier geht es weniger darum, unautorisierten Zugang zu Informationen, Datendiebstahl oder DDoS-Attacken zu verhindern, vielmehr müssen sogenannte Thing-Level-Attacken vermieden werden. Dabei handelt es sich um Angriffe, die physisches Gefahrenpotenzial ausnutzen oder die physische Konsequenzen zur Folge haben.
Die Heterogenität des Internet der Dinge bedingt allerdings, dass IoT-Sicherheitsrichtlinien für eine effektive Durchsetzung so anpassungsfähig wie möglich sind. Sicherheitsexperten haben bereits spezielle IoT-Sicherheitsmodelle vorgestellt, bei denen die Geräte beispielsweise strikte Zugangskontrollen durchführen, ähnlich zur rollenbasierten Zugangskontrolle, oder über befähigungsbasierte Ansätze geschützt werden.
Betriebssystem schützt vor Softwarefehlern
Das Betriebssystem von Kaspersky Lab, KasperskyOS, ist ein sicheres OS, über dessen Architektur-Software sicher ausgeführt werden kann, inklusive unsicherer Anwendungen. Es ist sicher By-Design und schützt auch im Falle von zufälligen Softwarefehlern und falschen Nutzeraktionen. Die modulare Architektur minimiert die Anzahl verwendeter vertrauenswürdiger Codes und wird je nach Bedürfnissen des jeweiligen Unternehmens maßangefertigt.
Die flexible Sicherheitskonfiguration ermöglicht ein einfaches Erstellen von Regeldefinitionen und -kombinationen. KasperskyOS kontrolliert die Interaktionen im System und kann auch Anwendungsfunktionen von Security-Funktionen trennen. Sicherheitsregeln lassen sich so einfacher konfigurieren und Anwendungen leichter entwickeln. Das Betriebssystem kann als Plattform für sämtliche Sicherheitsbelange der angehängten Geräte und eingebetteten Systeme inklusive ihrer speziellen Sicherheitsanforderungen fungieren.
Kaspersky Security System bildet dabei den zentralen Baustein des Kaspersky-Betriebssystems. Bei ihr handelt es sich um eine vielseitige Sicherheits-Engine, die eine Definition und Prüfung von Sicherheitsbedingungen für IoT-Anwendungen ermöglicht. Kaspersky Security System basiert auf dem Prinzip der Isolierung der Sicherheitskomponenten von den Funktionskomponenten des Informationssystems. Ein System kann so sicher, unabhängig von der Implementierung der Funktionskomponenten, operieren. Dadurch wird ein vertrauenswürdiges System geschaffen, das auch nichtvertrauenswürdige Komponenten nutzen kann.
KasperskyOS unterstützt außerdem die Kombination verschiedener Sicherheitsmodelle wie die gleichzeitige Nutzung von Basis- und Spezialregeln. Die Sicherheits-Engine schützt damit nicht lediglich vor Malware, sondern auch vor der Verletzung der definierten Sicherheitsregeln. Die Produktionssicherheit eines Systems wird dadurch nicht beeinträchtigt.
.jpg)
