Pressemitteilung

Berlin, 24.02.2021 - Mit den TeleTrusT Use Cases erhalten Anwender ein fertiges Konzept für einen strukturierten Prozess zur Evaluierung der Security-Anforderungen in ihrer Anwendung sowie dafür, wie Produkte und Lösungen entsprechend ausgewählt werden können. Anhand der Use Cases kann der Anwender wesentlich praxisnaher und effektiver arbeiten als mit den allgemeinen, umfassenden und abstrakten Component Types der IEC 62443-4-2.

https://www.teletrust.de/publikationen/teletrust-iec-62443-4-2/

Informationstechnik und klassische Automatisierungstechnik verschmelzen immer mehr. Dabei werden an die Security-Mechanismen in der Automatisierungstechnik andere Anforderungen gestellt als in der IT-Welt, besonders hinsichtlich Updatemöglichkeiten, Echtzeitfähigkeit und heterogene Hardwareumgebungen.

Zentrale Norm ist dabei IEC 62443. Die Norm besteht aus mehreren Teilen und soll alle IT-sicherheitsrelevanten Aspekte der industriellen Automatisierungstechnik abdecken. Der Normteil IEC 62443-4-2 wirft in der Praxis immer wieder Fragen auf. Dabei geht es insbesondere um die Spezifizierung und später auch Zertifizierung von Komponenten und Geräten, die in der Steuerungs- und Automatisierungstechnik ein-gesetzt werden. Auch die Frage nach dem richtigen IT-Sicherheits-Level solcher Produkte stellt sich regelmäßig bei der Anwendung der Norm.

Die Norm ist einerseits für Systemintegratoren, Maschinenbauer und Anlagenbetreiber wichtig, die die Security-Aspekte ihrer Anwendungen betrachten müssen, andererseits auch für Gerätehersteller, die Router, Gateways und andere Komponenten für die Automatisierungsindustrie entwickeln.

Einige Anwender nutzen die vereinfachte Sicht auf die (vier) Security Level, um Security-Anforderungen zu beurteilen. Dieser eher allgemeine Ansatz führt in der Praxis kaum zu Antworten, die alle Aspekte einer Anwendung abdecken. Ein anderer Ansatz ist eine Risikoanalyse auf Systemebene. Damit lassen sich die Security-Anforderungen zwar exakt beschreiben, jedoch nicht so allgemeingültig, dass sie sich einfach auf weitere Anwendungen übertragen lassen.

Um dieses Dilemma zu lösen, hat die TeleTrusT-Arbeitsgruppe "Smart Grids/Industrial Security" IEC 62443 Component Use Cases formuliert, die beide oben genannten Ansätze berücksichtigen.

Im ersten Schritt werden die Funktionalität und der Verwendungszweck der Komponente festgelegt. Anschließend wird die Anwendung und das Einsatzumfeld betrachtet, um daraus die Security-Anforderungen entsprechend IEC 62443-4-2 abzuleiten. Das erfolgt aus zwei Blickrichtungen: aus Security Level-Sicht und aus Sicht der Applikation. Abschließend werden im Use Case konkrete Punkte und Schritte festgelegt, wie der Test der fertigen Lösung im Rahmen der internen Qualitätssicherung auszusehen hat.

Um die praktische Anwendung zu vereinfachen, wurden die Use Cases nicht abstrakt entwickelt, sondern anhand zweier konkreter Beispiele: Industrial Firewall und Security Gateway. Die beiden Use Cases unter-scheiden sich dadurch, dass bei dem Use Case Industrial Firewall auf die praktischen Erfahrungen mit bestehenden Produkten aufgebaut werden kann, während beim Use Case Security Gateway aufgrund der neuen Anwendungsfelder und Produkte noch kaum Erfahrungswerte vorliegen.

Berlin, 24.02.2021 - The TeleTrusT Use Cases provide users with a ready-to-use concept for a struc-tured process to evaluate the security requirements in their application and how products and solu-tions can be selected accordingly. Based on the Use Cases, the user can work much more practically and effectively than with the general, comprehensive and abstract Component Types of IEC 62443-4-2.

www.teletrust.de/publikationen/teletrust-iec-62443-4-2/

Information technology and classic automation technology are increasingly merging. At the same time, diffe-rent requirements are placed on the security mechanisms in automation technology than in the IT world, especially with regard to update options, real-time capability and heterogeneous hardware environments. 

The central standard is IEC 62443, which consists of several parts and is intended to cover all IT security-relevant aspects of industrial automation technology. The IEC 62443-4-2 part of the standard repeatedly raises questions in practice. In particular, it concerns the specification and later also certification of compo-nents and devices used in control and automation technology. The question of the correct IT security level of such products also regularly arises when applying the standard.

On the one hand, the standard is important for system integrators, machine builders and plant operators who have to consider the security aspects of their applications, and on the other hand, it is also important for de-vice manufacturers who develop routers, gateways and other components for the automation industry.

Some users use the simplified view of the (four) security levels to assess security requirements. In practice, this rather general approach hardly leads to answers that cover all aspects of an application. Another ap-proach is a risk analysis on the system level. Although this approach allows security requirements to be described precisely, it is not so general that they can be easily applied to other applications.

To solve this dilemma, the TeleTrusT working group "Smart Grids/Industrial Security" has formulated IEC 62443 Component Use Cases that take both of the above approaches into account.

In the first step, the functionality and the intended use of the component are defined. Then the application and the environment in which it will be used are considered in order to derive the security requirements in accordance with IEC 62443-4-2. This is done from two perspectives: from the security level perspective and from the application perspective. Finally, the use case specifies concrete points and steps for testing the finished solution as part of internal quality assurance.

In order to simplify practical application, the use cases were not developed in the abstract, but based on two concrete examples: Industrial Firewall and Security Gateway. The two use cases differ in that the Industrial Firewall use case can build on practical experience with existing products, while the Security Gateway use case has hardly any empirical values yet due to the new application fields and products.