Sie erinnern sich bestimmt noch an den Oldsmar-Vorfall — im US-Bundesstaat Florida war es einem Hacker gelungen, Chemikaliendosierungen im Prozessleitsystem eines Trinkwasserversorgers zu verändern, mit denen das Trinkwasser ungenießbar geworden wäre (siehe HardHats-Briefing im März).

Nun, zu Oldsmar gab es offenbar “Vorwehen” — genauer gesagt einen weniger bekannt gewordenen Vorfall ein paar Wochen zuvor in der Nähe von San Francisco, ebenfalls USA (NBC News-Artikel). Auch in diesem Fall wurde angeblich das Vergiften eines Trinkwasserversorgers versucht — dazu kommen wir gleich.

Der Weg? Klassiker, könnte man sagen: TeamViewer-Account eines nicht mehr beschäftigten Mitarbeiters. Er hat sich allerdings im Vergleich zum Oldsmar-Hacker…

It began with a conference talk, and talks over drinks after the conference talk, and long hours on the phone in a world that just began to understand that COVID-19 meant: no more conferences. In a way, the Top 20 Secure PLC Coding Practices list is an example of finding ways to work on projects as a community that could no longer meet in presence.

But this is not the article to explain why and how the project began, there’s another one explaining that already. …

Es begann mit einem Konferenzvortrag, Gesprächen bei Getränken nach dem Konferenzvortrag und langen Stunden am Telefon in einer Welt, die gerade zu verstehen begann, dass COVID-19 bedeutete: jetzt erst mal keine Konferenzen mehr. In dieser Hinsicht ist die Liste der Top 20 Secure PLC Coding Practices ein Beispiel dafür, wie eine Community, die sich nicht mehr in Präsenz treffen konnte, Wege gefunden hat, trotzdem an gemeinsamen Projekten zu arbeiten.

Aber dies ist nicht der Text, um zu erklären, warum und wie das Projekt begann — dazu gibt es bereits einen anderen.
Dies, meine Damen und Herren, ist der Text, der das…

Wenn Sie den letzten Monat nicht auf einer einsamen Insel verbracht haben, hatten Sie wahrscheinlich wenig Chance, drumherumzukommen: Colonial, der Betreiber der größten Pipeline der USA, ist Opfer eines Ransomware-Angriffs geworden. Wir sortieren das mal:

Was ist eigentlich passiert?

Das Office-IT-Netzwerk (nicht das OT-Netzwerk) von Colonial ist Anfang Mai mit Ransomware infiziert worden. Die OT-Systeme waren also von der Ransomware selbst nicht betroffen. Colonial hat daraufhin aber trotzdem eigentlich nicht betroffene Systeme im OT-Netzwerk heruntergefahren, und damit den Betrieb der Pipeline.

War es ein OT-Security-Angriff? Oder: Warum genau hat Colonial die Pipeline außer Betrieb genommen?

Diese Tatsache hat Fragen aufgeworfen: Warum hat Colonial die Pipeline genau abgeschaltet? …

Automation engineers are familiar with this problem: They are often not allowed to start engineering the control system, controllers and fieldbuses until all the other trades — electrical planning, mechanics, process engineering, for example — have already made crucial decisions.
Security engineering has the same problem, only one step later: It only begins when the automation engineers have also finished, or even after the plant has been commissioned.

This is not quite what security by design looks like.

Security? That’ s what the others do…

One reason: For automation engineers, security is usually what the IT department does. The spoilsport discipline, which always comes up with unrealistic…

Automatisierungsingenieure kennen das Problem: Sie dürfen mit dem Engineering von Leitsystem, Steuerung und Feldbussen oft erst dann beginnen, wenn alle anderen Gewerke — Elektroplanung, Mechanik, Verfahrenstechnik etwa — schon wegweisende Entscheidungen getroffen haben.
Security Engineering hat das gleiche Problem, nur noch einen Schritt später: Es beginnt oft erst dann, wenn auch die Automatisierungsingenieure fertig sind, oder sogar erst nach der Inbetriebnahme der Anlage.

Security by Design sieht anders aus.

Security? Machen die anderen…

Eine Ursache: Für Automatisierer ist Security immer noch oft das, was die IT-Abteilung macht. Die Spielverderberdisziplin, von der ständig unrealistische Anforderungen kommen (Zwei-Faktor-Authentifizierung? Junge, die in der Leitwarte schauen sowieso laufend…

Autoren: Johannes Frick, Heiko Rudolph, Sarah Fluchs.
Dieser Beitrag ist am 11. Februar 2021 auf ibf-solutions.com erschienen.

If it’s not secure, it’s not safe”, also etwa “ohne Security keine Produktsicherheit (Safety)” — auf diesen kurzen Satz wird das Thema Security für die Maschinensicherheit oder die Sicherheit von elektrischen Geräten gern eingedampft. Für Hersteller von technischen Produkten bedeutet dies, dass neben den explizit in EU-Richtlinien (z.B. Maschinenrichtlinie, Niederspannungsrichtlinie, etc.) genannten Safety-Anforderungen auch Aspekte der Security relevant sind, um den Anforderungen an sichere Produkte gerecht zu werden.

Doch was ist nun der genaue Unterschied zwischen „Safety“ und „Security“? Während die Safety Menschen…

A crash course on how to do security and safety, a sneak peek into the future of security and safety risk assessments — and a reflection on where standardization (ISA TR 84.00.09 and IEC TR 63069) is moving.

Emergence

May I introduce you to a term that‘s very helpful in understanding the nature of the security and safety problems? It’s called emergence.

Emergence is „the magic that happens when a system comes together“. Or, more formally: If we define a system as a set of entities and their relationships, emergence is what happens on top. …