3 Irrtümer über Industrial Security
Steffen Zimmermanns Expertise zu Sicherheit in Ihrem Unternehmen
Ransomware, Cyberangriffe und Sicherheitsstandards sind unangenehme Themen, die gerne hintenangestellt werden, sobald wichtiger erscheinende Aufgaben zu erledigen sind. Doch wer sich nicht tiefgehend mit Industrial Security auseinandersetzt, riskiert das Unternehmen. Um Ihnen den Einstieg ins Thema zu erleichtern, haben wir im Podcast mit dem Experten Steffen Zimmermann gesprochen und hier alles Wichtige zusammengefasst.
Inhalte
- Irrtum 1: „Industrial Security ist ein Thema für Menschen in der IT- Branche.“
- Irrtum 2: „Für Industrial Security braucht es nur die richtige Hard- und Software."
- Irrtum 3: „Das Unternehmen ist sicher.“
- Welche Maßnahmen sind für Industrial Security nötig?
- 3 Tipps von Steffen Zimmermann
- Wo finde ich Hilfe zur Industrial Security?
Wer ist Steffen Zimmermann?
- Steffen Zimmermann leitet das Kompetenzzentrum für Industrial Security des VDMA.
- Schon seit 20 Jahren begleitet er die Entwicklungen im Bereich der Industrial Security.
- Steffen Zimmermann unterstützt dabei vor allem Menschen im Maschinen- und Anlagenbau und in der Politik in Sicherheitsfragen
Wann sind Unternehmen sicher? 3 Denkfehler:
Warum ist Industrial Security so wichtig und weshalb beschäftigen sich Unternehmen immer noch zu wenig damit? Das hat vor allem mit dem weit verbreiteten, aber leider falschen Bild der Industrial Security zu tun:
Irrtum 1: „Industrial Security ist ein Thema für Menschen in der IT- Branche.“
Wer Cyber-Security nicht als Management-Thema betrachtet, handelt laut Steffen Zimmermann grob fahrlässig. Nicht nur, weil sich die Angriffe häufen, sondern auch, weil immer mehr Kund*innen vollständig beantwortete Security-Fragebögen verlangen. Wird das IT-Sicherheitsgesetz der EU oder die Regulierung in Deutschland missachtet, haftet die Geschäftsführung und nicht die IT-Mitarbeiter*innen. Es genügt also nicht mehr, dass sich nur IT-Spezialist*innen mit der Sicherheit des Unternehmens beschäftigen.
Irrtum 2: „Für Industrial Security braucht es nur die richtige Hard- und Software.“
Security kann man nicht kaufen.
So sagt es Steffen Zimmermann, denn Technologie allein könne nie die einzige Lösung sein. Damit das Zusammenspiel zwischen Menschen und Technik funktioniert, muss die Geschäftsführung in mehr als nur Technologie investieren:
- Schon die Produkte müssen von den Zulieferern sicher entwickelt und updatefähig sein. Unternehmen sollten also wissen, auf welche Partner sie sich verlassen können.
- Im Fall eines Angriffs muss das Unternehmen auf die Hilfe von Behörden setzen können. Hier gilt es, schon im Vorhinein an einer guten Kommunikation zwischen Behörde und Unternehmen zu arbeiten.
- Mitarbeiter*innen sind der entscheidende Faktor beim Aufbau von Industrial Security. Nur durch eine grundlegende Schulung und eine regelmäßige Erinnerung an die zu setzenden Maßnahmen kann die Gefahr eingedämmt werden. Denn der Großteil der Cyberattacken passiert durch fehlende Awareness von Mitarbeiter*innen. Phishing-Mails werden geklickt, unautorisierte USB-Sticks angesteckt, in der Öffentlichkeit wird gearbeitet – diese Beispiele klingen fast lächerlich, passieren aber viel zu oft und haben verheerende Folgen. Investieren Sie in Ihre Mitarbeiter*innen und damit gleichzeitig in Sicherheit!
Irrtum 3: „Das Unternehmen ist sicher.“
Das einzig Sichere an Industrial Security ist: Egal, was getan und gekauft wird, es schützt nie vollständig vor Angriffen. Industrial Security ist ein ständiger Prozess, der nie abgeschlossen werden kann, weil sich Technologien und Angriffsmethoden weiterentwickeln. Wer sich absolut sicher fühlt und die Maßnahmen nicht überarbeitet, riskiert einen größeren Schaden als jemand, der mit einem Angriff rechnet und sich kontinuierlich den technologischen Veränderungen anpasst.
Welche Maßnahmen sind für Industrial Security nötig?
Damit auch Sie in der Lage sind, die richtigen Maßnahmen zu treffen und Mitarbeiter*innen damit zu betrauen, sich fortlaufend um die Sicherheit des Unternehmens zu kümmern, sind vier Schritte wichtig:
Schritt 1: Definieren Sie, was Sie schützen müssen.
Beginnen Sie dafür am besten ganz oben bei den Geschäftsgeheimnissen und Geschäftsprozessen. Die zu schützenden Daten lassen sich in drei Bereiche gliedern.
- IT-Security: alles, was das Büro betrifft
- OT-Security: die eigene Produktionsumgebung
- Product-Security: digital vernetzte Produkte
Schritt 2: Machen Sie sich mit dem Thema vertraut.
Sehr viele Tools, Standards und Checklisten zur Cyber-Security finden Sie online, viele davon sind sogar frei verfügbar. Nutzen Sie das Angebot und arbeiten Sie sich in kleinen Schritten durch – dann sind Sie sicher am richtigen Weg!
Schritt 3: Vergessen Sie nicht: Jeder hat einmal angefangen.
Manche Ihrer Kolleg*innen sind im Prozess vielleicht schon weiter, andere stehen wie Sie noch ganz am Anfang. Eine gute Gelegenheit, Erfahrungen auszutauschen und voneinander zu lernen, bietet das Blended Learning Training mit Dr. Pierre Kobes, dem Gründervater der Norm IEC 62443.
Schritt 4: Der letzte und wichtigste Schritt: Hören Sie nicht auf und passen Sie sich den neuen Entwicklungen und Standards immer wieder an!
3 Tipps von Steffen Zimmermann
Wer größtmögliche Industrial Security erreichen möchte, sollte 3 Fragen immer mit "Ja" beantworten können:
- Funktioniert mein Backup?
- Habe ich jemanden, der mich im Notfall auch offline unterstützt?
- Habe ich alles Notwendige getan, damit sich meine Mitarbeiter*innen gut vorbereitet fühlen?
Wo finde ich Hilfe zur Industrial Security?
- Das IT-Grundschutz-Kompendium bietet einen guten Einstieg ins Thema.
- Das BSI bietet viele kostenlose Tools an, die Ihnen helfen können.
- KMUs profitieren vor allem vom ISIS12 Managementsystem.
- Einer der größten und wichtigsten Standards in der IT-Security ist ISO 27001.
- Für die Themen sicherer Anlagenbetrieb und sichere Produktentwicklung ist der ISA/IEC 62443 sehr interessant.
Informieren Sie sich hier über das Industrial Security Training.
