Fragen & Antworten

Der wesentlichste Unterschied besteht darin, dass zedas®secure Sicherheit auf allen relevanten Ebenen in einer Lösung vereint und damit wirksame Verteidigung in der Tiefe bietet. Im umfassenden Sicherheitskonzept von zedas®secure sind Endgeräte sowie Betriebs- und Anwendungssoftware ebenso eingeschlossen wie Netzwerksicherheit und betriebliche Organisation. Rechner und Software, mit der auf eine Anlage zugegriffen wird, befinden sich im Unternehmen selbst und nicht mehr extern. Die Fernwartungsrechner werden erst eingeschalten, wenn sie benötigt werden. Alle Externen erhalten per Remote Desktop Protokoll lediglich Zugriff auf die Bildschirmausgabe, Tastatur und Maus. Auf dem abgesicherten Desktop befinden sich nur Programmverknüpfungen, die für den aktuellen Serviceeinsatz explizit freigeschalten wurden. Die Handhabung von zedas®secure durch verantwortliche Mitarbeiter der Produktion ist simpel. Zusätzlich stellt zedas®secure eine Reihe von zentralen Diensten wie Virenschutz, Backup-Speicher, zentrale Drucker, Betriebssystem-Updates, sicheren Zugriff innerhalb des Unternehmens, anlagenübergreifend und sicher zur Verfügung. Kurz gesagt, mit zedas®secure lassen sich die funktionalen und IT-sicherheitstechnischen Anforderungen an eine digitalisierte Produktion allumfassend erfüllen. Kunden profitieren darüber hinaus vom Erfahrungsschatz der Mitarbeiter eines Unternehmens, dass bereits seit über 15 Jahren im Thema: „IT-Sicherheit in der Produktion“ steht.

Ja! Die Kundenanforderungen bestimmen die Auslegung und die Konfiguration von zedas®secure.

Nicht nur Quell-IP-, Ziel-IP-Adressen und verwendete Ports einer Anwendung werden überwacht, sondern auch erlaubte URLs im Browser. Zudem müssen Programme, Plug-INs u.dgl., die von einer Anwendung nachgeladen werden, explizit erlaubt werden.

Ja! Die Beobachten-Funktion erlaubt die Spiegelung aktueller Sessions der Fernwartung durch berechtigte Nutzer auf erlaubten Systemen.

Beim Starten der Fernwartungsrechner erfolgt generell die Prüfung und ggf. die Aktualisierung des Virenschutzes, bevor der Rechner benutzt werden kann. Zusätzlich überwacht zedas®secure den Zeitraum, in dem ein virtueller Fernwartungsrechner nicht gestartet wurde. Nach mehr als 72h (konfigurierbar) erfolgt zum zuvor festgelegten Zeitpunkt ein automatischer Start des Fernwartungsrechners und damit die Aktualisierung des Virenschutzes. Natürlich wird der Rechner auch wieder automatisch heruntergefahren.

Ja! Die Virenschutzlösung in zedas®secure speichert die 40 (konfigurierbar!) letzten Antiviruspattern-Dateien. Nach Auswahl des vom Anlagenhersteller freigegebenen Patternstandes wird das Rollout für die gewählte Anlage angeboten und nach manueller, administrativer Freigabe auf allen angegebenen Systemen der Anlage durchgeführt.

Ja! Mit Network Access Control können zuvor registrierte Notebooks an definierten und zutrittsgeschützten Netzwerkzugängen (Konfig-Räume) angeschlossen werden. Sie erhalten vor Ort Zugang auf die virtuellen Fernwartungsrechner ihres Unternehmens und arbeiten damit nach den gleichen Verfahren, wie bei der Fernwartung. Ziel von zedas®secure ist es, den direkten Zugang zur Anlage mit fremder Hardware zu vermeiden.

Nicht wirklich! Zur Nutzung des Fernwartungsdienstes von zedas®secure wird lediglich ein HTML5-fähiger Browser benötigt. Die VPN-Verschlüsselung erfolgt per SSL. Der Austausch von Daten erfolgt per verschlüsseltem File Transfer Protokoll (secure FTP). Browser und sFTP-Client lassen sich simpel in die IT-Infrastrukturen der externen Dienstleister integrieren. Praxiserfahrungen zeigen, dass immer eine Lösung gefunden wird. Entscheidend ist die Frage, ob der Eigner der Anlage die digitale Hoheit über diese behalten möchte. Mit zedas®secure ist ihm das möglich!

Ja! Nicht nur mit Remote Service lassen sich Kosten senken. Auch Betriebsführung, Prüfung, Wartung, Nutzung, Administration und Auditierung einer zentralen Lösung gestalten sich kostensparender als ein bunter Zoo verschiedener Lösungen. Und das bei einem gleichmäßig hohen Sicherheitslevel für alle Anlagen.

Ja! Die technische Basis von zedas®secure bietet alle Möglichkeiten zu einer hochverfügbaren Implementierung. Insbesondere die Virtualisierung von Servern, Storage und Netzwerk in zedas®secure verwendet dafür die am Markt verfügbaren Standards.

Ja! In zedas®secure lässt sich die betriebliche Organisation der Freigabe von Remote Service Zugriffen zentral, dezentral oder als Kombination von zentraler und dezentraler Freigabe im Vier-Augen-Prinzip implementieren. Eine Variante der dezentralen Freigabe sind Schlüsselschalter in der Anlage.

Weil die Erfassung des Fernwartungswunsches Voraussetzung für das Starten eines virtuellen Fernwartungsrechners ist, lassen sich in zedas®secure technisch erfasste Vorgänge (Starten und Herunterfahren des Rechners) mit den manuell erfassten Informationen leicht verknüpfen. Sie werden gespeichert und stehen in einer Protokoll-App zur Ansicht bereit. In der App ist außerdem die Auswahl und der Export der Zugriffsdaten in eine CSV-Datei möglich.

Mit zedas®secure lässt sich ein Overlay-Netzwerk über die verschiedenen Produktionsanlagen errichten. Wir nennen das ein Produktionsdatennetz (PDN). Dieses ist per Firewalling in Sicherheitszonen unterteilt und gewährleistet die Kommunikation zwischen unterschiedlichen Anlagen untereinander. Zudem können so in den Anlagen die zentralen Dienste von zedas®secure genutzt werden. Zusätzlich zu den Produktionsanlagen besitzt zedas®secure Netzwerkanschlüsse zum Unternehmensnetzwerk (eigene Mitarbeiter) und zum Internet (externe Dienstleister). Es ist der digitale Torwächter zu ihrer Produktion und stellt alle notwendigen Schnittstellendienste zentral zur Verfügung.

Im integrierten Monitoring-System von zedas®secure werden hunderte Parameter auf Hardware-, Netzwerk- und Softwareebene überwacht. Um Informationen z.B. zu erkannten Sicherheitsvorfällen an Leitstandsysteme weiterzuleiten, gibt es neben üblicher Mail- und SMS-Alarmierung eine Funktion, die Automatisierungstechnikern besonders gefällt. Sechs digitale IO-Ausgänge signalisieren jeweils den Status einer Gruppenmeldung. Die Zuordnung der einzelnen Überwachungsparameter zu den Gruppenmeldungen ist dabei frei konfigurierbar.

Ja! Ein sFTP-Server in zedas®secure ermöglicht einen bidirektionalen Datenaustausch. Dieser ist aus dem Internet erreichbar und steht in einer demilitarisierten Zone der Firewall von zedas®secure. Durch die kontrollierte Synchronisation, inklusive Virenscan, mit einem internen Fileservice benötigen die Ziel- bzw. Quellsysteme in den Produktionsanlagen keinen direkten Zugriff auf diesen sFTP-Server und sind von diesem auch nicht erreichbar.

Schauen Sie bitte in unser Glossar. Wir haben dort versucht, wichtige Begriffe möglichst einfach und verständlich zu erläutern. Finden Sie dort keine Antwort(en), dann teilen Sie es uns bitte mit. Gern ergänzen wir dann unser Glossar!

Sehr gute und verständliche Artikel zur Einführung in das Thema der IT-Sicherheit in der Produktion finden Sie auch auf https://www.sichere-industrie.de/

IT-Grundschutz-Kompendium	BSI	Die IT-Grundschutz-Kataloge des BSI bieten eine strukturierte Methodik und umfangreiche Maßnahmenkataloge zur Steigerung der Informationssicherheit in Unternehmen
ICS Security Kompendium	BSI	Speziell auf industrielle Sicherheit angepasstes Informationsangebot des BSI
UP KRITIS Website	BBK/BSI	Internetseite der Kooperation des Bevölkerungsschutzes und Katastrophenhilfe (BBK) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zum Thema Kritische Infrastrukturen (KRITIS)
IEC 61508:2010	IEC	Internationale Norm zur Entwicklung von elektrischen, elektronischen und programmierbaren elektronischen Systemen, die funktionale Sicherheitsfunktionen ausüben
VDI/VDE 2182	VDI	VDI/VDE Norm zur Informationssicherheit in der industriellen Automatisierung
ISO 27001	ISO	Internationaler Standard, der Anforderungen an ein Informationssicherheits-Management-System definiert
IEC 62443	ISA/IEC	Internationale Normenreihe zur IT-Sicherheit in industriellen Kommunikationsnetzen