de 
enHintergrund
Das SUSTAIN-Projekt zielt darauf ab, die Sicherheit und Zuverlässigkeit von Industrieanlagen zu verbessern, indem es innovative Lösungen für die Cybersecurity von sicherheitskritischen Infrastrukturen entwickelt. Um die Cybersecurity-Risiken für dieses System zu bewerten und zu reduzieren, haben Demag und NXP einen zweitägigen Workshop bei NXP in Hamburg durchgeführt.
Ziele
Die Ziele des Workshops waren:
- Die Identifizierung der zu schützenden Assets des Kransteuerungssystems, wie z.B. Sensoren, Aktuatoren, Kommunikationskanäle, Daten, Software usw.
- Für die Durchführung der Cybersecurity wird das STRIPED-Modell eingesetzt, eine Erweiterung des STRIDE-Modells, das zusätzlich zu den klassischen Bedrohungskategorien wie Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege auch physische Bedrohungen (Physical Threats) mit einbezieht. Anschließend erfolgt eine Risikobewertung unter Verwendung des DREAD-Modells, welches eine strukturierte Einschätzung der Bedrohungen hinsichtlich Damage Potential, Reproducibility, Exploitability, Affected Users und Discoverability ermöglicht.
- Die Bestimmung der Security Level Targets (SL-T) nach IEC EN 62443 für die Assets, die das erforderliche Sicherheitsniveau für die Schutzmaßnahmen angeben, die die Risiken auf ein akzeptables Maß reduzieren sollen.
Ergebnisse
Die Ergebnisse des Workshops waren:
- Die Erstellung einer Liste von Assets des Kransteuerungssystems, die für die Cybersecurity relevant sind. Diese werden unter Berücksichtigung der entwickelten Sicherheitsarchitektur zu einem Threat Model Diagram zusammengestellt.
- Einordnung der möglichen Threats und die Einordnung des Risikos nach DREAD Methode am Beispiel eines Assest
- Die Zuordnung der SL-T für jedes Asset, die von SL 1 bis SL 4 reichten, wobei SL 4 das höchste Sicherheitsniveau darstellt.
Schlussfolgerung
Der Workshop war ein wichtiger Meilenstein im SUSTAIN-Projekt, da er die Grundlage für die Auswahl der passenden SL-Targets und Implementierung der geeigneten Cybersecurity-Lösungen für das Kransteuerungssystem schuf. Die SUSTAIN-Partner werden die Ergebnisse des Workshops nutzen, um die Anforderungen für die Sicherheitsmaßnahmen zu definieren, die die SLt erfüllen müssen. Die nächsten Schritte, neben der Vervollständigung der Risikobewertung für alle identifizierten Assets, sind die Entwicklung, Integration und Validierung der Cybersecurity-Lösungen, die innerhalt unserer Research & Business Factory in realer Industrieumgebungen getestet werden sollen.
