IT-Sicherheit und die Auswirkungen des IoT

Willkommen zurück zur zweiten Folge meiner Security-Blog-Serie!

Wenn wir also die "alte unvernetzte Industrie" im Zusammenhang mit IT-Konnektivität betrachten (ich werde es nicht explizit "IoT" nennen, weil es viel, viel mehr ist), müssen wir mehrere Nebenwirkungen und deren Folgen verstehen.

5 ‚Nebenwirkungen‘ der IT-Konnektivität:

1.) Systeme, die in Echtzeit arbeiten, müssen stetig aktualisiert werden! Dies wird als Brownfield-Problem bezeichnet. Der Begriff "Brownfield" wird in der Regel für Steuerungssysteme verwendet, die nicht vernetzt sind und mit alter Software laufen, die nicht aktualisiert werden kann, aber dennoch ihren Zweck erfüllt. Darüber hinaus erfüllen sie meist Echtzeitaufgaben. Das Problem ist, dass normalerweise niemand die Möglichkeit hat, ein Update für alte Software zu schreiben. Und selbst wenn jemand dazu in der Lage ist, wird das Update die Geschwindigkeit des Systems ändern und es wird nicht mehr in Echtzeit laufen. Selbst Ihr normaler Computer wird durch Updates im Laufe der Zeit verlangsamt....

2.) Wenn Sie Funktionalitäten zwischen Gerät und Cloud aufteilen, ist es vielleicht besser, Funktionalitäten, die geschützt werden müssen, in die Cloud zu verschieben.

3.) Stellen Sie sich die Frage: Brauche ich ‚nur‘ Sicherheit für mein Produkt oder brauchen meine Produkte ggf. einen eingeschränkten Zugriff? Dies ist besonders wichtig, wenn Sie Ihr Produkt als Dienstleistung verkaufen wollen. In diesem Fall möchten Sie wissen, ob Ihr Produkt funktioniert oder nicht und ob und wann eine Wartung fällig ist. Und Sie wollen auch die Möglichkeit, Ihren Service zu deaktivieren, wenn der Kunde nicht bezahlt. Dazu benötigen Sie eine funktionierende, sichere Internetverbindung.

4.) Wurde das Produkt in der Vergangenheit jemals kopiert oder ist Ihr "Sicherheitsansatz" mehr die Kontrolle über Ihre eigene Organisation (z.B. Servicetechniker) zu erlangen?

5.) Neue Geräte: Wenn Sie ein neues Produkt planen, ist die Grundlage für alle Sicherheitskonzepte grundsätzlich eine eindeutige ID, die nicht direkt extrahiert werden kann (also nicht kopiert werden kann). Dies ist typischerweise auf einem Chip, einem TPM (Trusted Platform Module), verborgen.

Bevor wir in die Details einsteigen, eine Vorab-Warnung:

Verschlüsselung und Hashing sind Themen, die mit Exportbestimmungen korrelieren können. Das impliziert 3 Dinge:

● Ja, Sie können alles selbst machen, aber denken Sie daran, dass es sinnvoll ist,  eine bewährte Lösung zu verwenden, die bereits bei anderen Anwendung findet. ‚Homebrew-Security‘ birgt auch das Problem, dass es schwierig wird, den Beamten zu erklären, welche Verschlüsselung Sie verwenden. Und glauben Sie mir, Sie werden regelmäßig "lost in the translation“ zwischen RD-Jungs und Beamten sein. Regierungsmitarbeiter mögen es einfach, wenn es einen sicheren Hash-Algorithmus wie'SHA256' gibt, den sie kennen.

● Obwohl Sie nur den neuesten Stand der Technik verwenden, müssen Sie Ihr Produkt entsprechend deklarieren und sich an die dahinterstehenden Prozesse halten. Wenn Ihr Unternehmen hier keine Erfahrung hat, fragen Sie jemanden, der sie hat, und seien Sie sich dessen bewusst.

● Modernste Verschlüsselung ist in der Regel kein Problem, nur wenn Sie in bestimmte Länder wie Iran oder Pakistan liefern wollen. Hier geht es eher um Freihandelszonen, weil diese gleich behandelt werden.

Lösungsansätze für die "Konnektivitäts-Nebenwirkungen":

1.) Brownfield Real-Time: Dies ist vielleicht die einfachste, schalten Sie einfach eine Box vor den Computer, die Updates empfängt (und dafür mit dem Netzwerk verbunden sein muss). Aber natürlich sollten Sie vorher alle Optionen abwägen, bevor Sie Ihre Entscheidung treffen und darüber nachdenken, wie viel es kosten wird und ob es sich aus betriebswirtschaftlicher Sicht lohnt. Wir haben auch preiswerte Box PCs, also fragen Sie einfach ;-). Vielleicht ist auch ein größerer BoxPC mit Virtualisierung eine Option.

2.) Cloud VS-Gerät: Hier die richtige Balance zu finden ist wichtig. Auch wenn Ihre Lösung einen Mehrwert bieten sollte, wenn sie nicht verbunden ist oder die Verbindung unterbrochen ist, kann es sinnvoll sein, Ihre Kern-IP in der Cloud zu halten, wo Sie den Zugriff darauf besser kontrollieren können.

3.) Security durch Monetarisierung und andere Geschäftsmodelle: Vielleicht ist ein guter Weg, um in Ihrem Unternehmen Mittel für die Sicherheit zu erhalten, verschiedene Geschäftsmodelle anzubieten, die auf Sicherheit basieren. Zum Beispiel die Aktivierung zusätzlicher Optionen, die der Kunde nachträglich vom Einsatzort herbestellen kann. Hier muss Ihnen nur bewusst sein, dass es mehrere etablierte Anbieter gibt. S&T kann sie Ihnen alle zur Verfügung stellen oder in Ihr Produkt integrieren.

4.) Security ‚Light‘: Es gibt auch "nur softwarebasierte" Lösungen. Sie können es mit Sicherheit ohne Verschlüsselung probieren (denken Sie an das Exportthema), aber Sie sollten sich darüber im Klaren sein: Sobald Sie Sicherheit für einen anderen Zweck benötigen, überdenken Sie Ihre Entscheidung hier.

5.) Sicherheitsanker: Für ein neues Produkt ist das ganz einfach. Stellen Sie einfach sicher, dass Ihr Security-Chip umprogrammiert werden kann, falls Sie nach China exportieren wollen. Provisionierung und alles andere geschieht auf dieser Basis.

Nachdem ich diesen Artikel ein zweites Mal gelesen habe, muss ich zugeben, dass es in diesem Text mehr um Exportbeschränkungen geht als um das, was die Überschrift verspricht. Aber eigentlich ist das auch ein guter Übergang zum nächsten Kapitel, weil es sehr gut erklärt, dass alles von den Grenzbedingungen abhängt – das schauen wir uns im nächsten Teil genauer an.

Titelbild: © Michael Borgers | Dreamstime.com