CSE-Engineering Center of Safety Excellence GmbH
Seite wählen

Plant Security

BERATUNG | ANALYSE | PENETRATIONSTESTS

CSE-Engineering – Digital Services

Anlagensicherheit auch aus Securitysicht gewährleisten

Technische Sicherheit allein reicht angesichts der wachsenden Digitalisierung und Automatisierung längst nicht mehr aus. Anlagen müssen heute auch vor Zugriffen durch unbefugte Dritte geschützt werden. Mögliche Cyberangriffe auf technische Anlagen sind zwingend zu betrachten und in das Sicherheitsmanagement zu integrieren. Doch aktuell sind Plant Safety und Security weitgehend getrennte Disziplinen mit hochspezialisierten Dienstleistern. Das birgt naturgemäß gewisse Risiken.

CSE-Engineering hat deshalb beide Disziplinen im integrierten Konzept der Plant Security zusammengeführt. Damit werden IT- und OT-Security zu selbstverständlichen Bestandteilen des Anlagensicherheitskonzepts. Und Sie haben einen spezialisierten Partner für das gesamte Anlagensicherheitsmanagement.

CSE-Engineering – Johannes Biernath

Kontakt

Johannes Biernath, M.Sc.
Process Safety Engineer

phone_in_talk +49 721 6699 4838
email E-Mail senden

Referenzen:

CSE-Geschäftsführer Prof. Jürgen Schmidt ist Mitglied der Kommission für Anlagensicherheit (KAS) zur Beratung des Bundesministeriums für Umwelt, Naturschutz und nukleare Sicherheit der Bundesregierung, die im Jahr 2019 einen Leitfaden (KAS 51) zu Maßnahmen gegen Eingriffe Unbefugter veröffentlicht hat. Dieser Leitfaden dient zum Schutz vor ernsten Gefahren verursacht durch Cyberangriffe oder Drohnen und dient der Erfüllung der Anforderungen der Sicherheitsüberprüfungs-Feststellungsverordnung (SÜFV).

In Kooperation mit der 8com GmbH (IT-Security) hat CSE-Engineering das Innovationszentrum CESIS gegründet, das sich zum Ziel gesetzt hat, Safety- und Securitybetrachtungen von IT/OT-Systemen zu kombinieren, um eine vollständige Sicherheit für die sicherheitsgerichtete Prozessleittechnik zu gewährleisten. Mit namenhaften Herstellern und Betreiben werden Vorgehen definiert, die die aktuellen Normen und Regelwerke (NA 163, KAS 51, etc) praxistauglich umsetzbar machen.

Erforderliche Unterlagen:

Im Rahmen der Projektarbeit in der Plant Security sind folgende Informationen und Dokumente erforderlich:

  • Verfahrensbeschreibung des Prozesses
  • Betriebsbedingungen | -zustände
  • R&I-Fließbilder
  • Gefährdungs- und Risikobeurteilung (z.B. HAZOP)
  • PLT-Komponentenliste

Optional:

  • Bisheriges Absicherungskonzept
  • Überblick über die IT-Infrastruktur

Beratung

Beratung zu nationalen und internationalen Security-Standards: IEC 61508/11, ISO 27000, ISO 62443

Analysen

Schwachstellenanalysen und Penetrationstests für Anlagen und Anlagenteile.

Sicherheitsmanagement

Erstellung eines Funktionalen Sicherheitsmanagements nach den neusten Regelwerken (NA 163, KAS 51)

Ergebnis

In Abhängigkeit der definierten Zielvorgaben, erhalten Sie ein individuell auf Ihre Anlage angepasstes Sicherheitskonzept. Darin werden die Ergebnisse der Schwachstellenanalyse durch Penetrationstests aufzeigt und entsprechend dem Stand der Technik Gegenmaßnahmen für Ihr System empfohlen. Darüber hinaus werden die Einflüsse der Gegenmaßnahmen auf die Performance Ihres Systems betrachtet und optimiert, um ein Höchstmaß an Sicherheit und Wirtschaftlichkeit zu erhalten. Ein ausführlicher Sicherheitsbericht, in dem die einzelnen Ausführungspunkte detailreich erläutert werden, rundet Ihr Projekt ab.

Projektdauer

Die Dauer der Sicherheitsanalyse ist abhängig von vielen verschiedenen Faktoren, wie beispielswiese die Systemgrößen, die verwendeten Assets (Sensoren, Aktoren, Steuerungen, etc.) und natürlich von dem Umfang Ihres angefragten Projektes (Penetrationstest, Sicherheitsmanagement, etc.). Aus diesem Grund findet zu Beginn des Projekts ein gemeinsames Treffen statt, in dem wir Ihren Bedarf und Ihre Anforderungen abstimmen. Auf dieser Grundlage schätzen wir den zeitlichen Aufwand ab und erstellen Ihnen ein detailliertes Angebot.

Regelwerke, Publikationen, Handbücher

CSE-Engineering legt Funktinale Sicherheit nach dem Stand der Technik aus. Dazu nutzen wir nationale und internationale Regelwerke, Publikationen und unsere jahrelange Erfahrung.

Regelwerke
  • IEC 61511/08
  • ISO 27000
  • ISO 62443
  • NA 163
  • KAS 51
  • BSI
Publikationen | Handbücher
  • Prof. Dr.-Ing. Jürgen Schmidt: Plant Security – Public Awareness and Mitigation of Third Party Attacks as a new Layer of Protection in the Safety Concept. Chemical Engineering Transactions, Vol. 77, 2019.

TrainingS & Coaching

Mit dem Applied Safety Seminarprogramm der CSE Academy machen Sie auch Ihre Mitarbeiter fit in der Funktionalen Sicherheit – zum Beispiel mit dem Seminar PLT-Sicherheitseinrichtungen. Auch als Inhouse-Training.

CSE Acadeny

Anfrage per E-Mail

 

Hinweise:

Mit der Nutzung dieses Formulars erklären Sie sich einverstanden, dass Ihre Angaben im Rahmen der Datenschutzbestimmungen des CSE-Engineering Center of Safety Excellence für die Dauer der Bearbeitung gespeichert werden.

Das Formular ist durch reCAPTCHA geschützt. Es gelten die Datenschutzbestimmungen und Nutzungsbedingungen von Google.

Basiswissen Plant Security

Grundlagen

Dürfen Schutzeinrichtungen intelligent werden? Sollen wir die Möglichkeiten der digitalen Transformation auch in der Sicherheitstechnik nutzen? Durch die stetige Digitalisierung und Automatisierung finden diese Fragen immer mehr Anklang in der Industrie. Ein Beispiel für die Kombination von Sicherheitstechnik und Industrie 4.0 stellen die modellbasierten Online-Absicherungen dar, die die Anlagen sicherer und gleichzeitig wirtschaftlicher betreiben lassen. Sie sind jedoch auch angreifbar z.B. über Menschen, Netzwerke, Sensoren oder Wartungstools. Cybercrime betrifft daher immer mehr und mehr Anlagen und das Thema Cybersecurity nimmt einen immer höheren Stellenwert ein.

Um diese Cybersecurity aufzubauen wurden in den letzten Jahren insbesondere zwei Leitfäden veröffentlicht: NA 163 und KAS 51. Beide haben das Ziel die Betreiber von PLT-Sicherheitseinrichtungen dabei zu unterstützen nach dem Stand der Technik das Risiko vor einem Cyberangriff zu minimieren. Beide Ansätze bieten eine gute Grundlage, die aber nicht allgemein angewendet werden kann bzw. keine konkreten Maßnahmen zur Minimierung des Risikos definieren. Dadurch besteht weiterhin ein hoher Bedarf bei der Unterstützung der Umsetzung der Leitfäden in den Unternehmen. Damit diese erfolgen kann folgt nun ein kleiner Überblick über die beiden Leitfäden:

Kurzdarstellung der NA 163:

Das Vorgehen nach der NA 163 unterteilt sich in zwei Phasen:

Phase I: Entwicklung des Verfahrens
Phase II: Individuelle Risikobeurteilung

Die Schritte der ersten Phase werden dabei einmalig exemplarisch für ein System durchgeführt, welches innerhalb der NA 163 definiert ist. Andere Systeme, wie beispielsweise eine gemeinsame sicherheitsgerichtete und betriebliche Steuerung sind nicht eingeschlossen und reduzieren die Anwendbarkeit der NA 163. Liegt jedoch das definierte System vor, werden im ersten Punkte alle Elemente des betrachteten Systems erfasst. Anschließend werden Bedrohungen der Integrität der PLT-Sicherheitsprüfung, die durch Manipulation/Vernichtung bzw. Diebstahl von den Elementen ausgeht, erfasst und bewertet.

Eine Bewertung der Verfügbarkeit oder Vertraulichkeit, die ebenfalls zu den allgemeinen Sicherheitszielen (Confidentiality, Integrity, Availability) werden hier nicht betrachtet. Im nächsten Teilschritt erfolgt dann das Definieren von Maßnahmen, um den Bedrohungen in geeigneter Weise zu begegnen und schlussendlich das Überprüfen, ob die definierten Maßnahmen wirksam umgesetzt sind.

Der letzte Teilschritt, die Überprüfung der Umsetzung der Maßnahme und die Dokumentation muss für jede zu beurteilende PLT-Sicherheitseinrichtung individuell durlaufen werden und bildet damit Phase II.

CSE-Engineering: Grundlagen der Plant Safety

Quelle: NAMUR-Arbeitskreis AK 4.18 Automation Security, IT-Risikobeurteilung von PLT-Sicherheitseinrichtungen NA 163, NAMUR – Interessengemeinschaft Automatisierungstechnik der Prozessindustrie e.V., 2017)

Kurzdarstellung der KAS 51:

Im ersten Schritt werden allgemeine Basismaßnahmen definiert, die von allen Betreibern von Betriebsbereichen umzusetzen sind, unabhängig ob eine besondere Gefährdung hinsichtlich einer ernsten Gefahr vorliegt. Trifft letzteres zu, muss anschließend eine Sicherungsanalyse durchgeführt werden, die aus drei Teilen besteht: Bedrohungsanalyse, Gefahrenanalyse und IT-Risikobeurteilung.

Bei der Bedrohungsanalyse wird geprüft, inwieweit die Anlagen bzw. die Umgebung für den Eingriff Unbefugter besonders attraktiv erscheinen. Die Gefahrenanalyse soll ergeben, ob Eingriffe Unbefugter zu einer besonderen Gefährdung im Sinne des Leitfadens führen können und somit von einer ernsten Gefahr ausgegangen werden muss. Der letzte Teilschritt, die IT-Risikobeurteilung setzt sich mit den IT-Bedrohungen auseinander, die auf Schwachstellen in Ihrem System vorliegen und bewertet dessen Risiko. Entsprechend des Risikos können dann weitergehende Schutzmaßnahmen definiert werden. Ob die getroffenen organisatorischen oder technischen Maßnahmen ausreichend sind, um den Betrieb gegen Eingriffe Unbefugter zu schützen, beurteilt die zuständige Behörde aufgrund der Einschätzung des Betriebes. Diese kann aus dem Sicherheitsbericht ersehen werden. Die Notwendigkeit von Sicherheitsüberprüfungen gemäß SÜG i.V.m. § 10a SÜFV ist vor dem Hintergrund der umgesetzten organisatorischen und technischen Maßnahmen hinsichtlich der erreichten Risikoreduzierung zu bewerten.

CSE-Engineering – Grundlagen der Plant Safety

Quelle: Kommission für Anlagensicherheit,KAS-51 Leitfaden Maßnahmen gegen Eingriffe Unbefugter, GFI Umwelt – Gesellschaft für Infrastruktur und Umwelt mbH, 2019