Sign in

Friction generates heat — true for writing and engineering. Fluchsfriction generates writings on security engineering. Heated debates welcome! CTO@admeritia

Drei Crashkurse und ein Wegweiser: Security Engineering, KAS-51, LANUV-Orientierungspapier

Security ist nur eine kleine Teilmenge in den aufwendigen Analysen, zu denen Anlagenbetreiber verpflichtet sind, wenn sie unter die Störfallverordnung fallen. Verständlich also, dass die Security nicht als Erstes auf der Agenda von Störfallbeauftragten steht. Aber sie gehört dazu, und mit dem KAS-Leitfaden 51 und dem Orientierungspapier des LANUV (Landesumweltamt NRW) zur Darstellung der IT-Sicherheit im Sicherheitsbericht wird konkreter, worauf Aufsichtsbehörden hinsichtlich Security achten.

Dieser Text bahnt einen Weg durch den Security-Dschungel, aufgeteilt in drei Crashkurse zu Security Engineering, KAS-51, LANUV-Orientierungspapier und zum Schluss einen kleinen Wegweiser, der Ihnen hoffentlich ein paar unnötige Schleifen durch das sperrige Security-Thema erspart.

Was hat die Störfallverordnung mit Security zu tun?

Die…


Panikmache oder echte Probleme?

Sie erinnern sich bestimmt noch an den Oldsmar-Vorfall — im US-Bundesstaat Florida war es einem Hacker gelungen, Chemikaliendosierungen im Prozessleitsystem eines Trinkwasserversorgers zu verändern, mit denen das Trinkwasser ungenießbar geworden wäre (siehe HardHats-Briefing im März).

Nun, zu Oldsmar gab es offenbar “Vorwehen” — genauer gesagt einen weniger bekannt gewordenen Vorfall ein paar Wochen zuvor in der Nähe von San Francisco, ebenfalls USA (NBC News-Artikel). Auch in diesem Fall wurde angeblich das Vergiften eines Trinkwasserversorgers versucht — dazu kommen wir gleich.

Der Weg? Klassiker, könnte man sagen: TeamViewer-Account eines nicht mehr beschäftigten Mitarbeiters. Er hat sich allerdings im Vergleich zum Oldsmar-Hacker…


Top 20 Secure PLC Coding Practices released

It began with a conference talk, and talks over drinks after the conference talk, and long hours on the phone in a world that just began to understand that COVID-19 meant: no more conferences. In a way, the Top 20 Secure PLC Coding Practices list is an example of finding ways to work on projects as a community that could no longer meet in presence.

But this is not the article to explain why and how the project began, there’s another one explaining that already. …


Top 20 Secure PLC Coding Practices sind nun veröffentlicht

Es begann mit einem Konferenzvortrag, Gesprächen bei Getränken nach dem Konferenzvortrag und langen Stunden am Telefon in einer Welt, die gerade zu verstehen begann, dass COVID-19 bedeutete: jetzt erst mal keine Konferenzen mehr. In dieser Hinsicht ist die Liste der Top 20 Secure PLC Coding Practices ein Beispiel dafür, wie eine Community, die sich nicht mehr in Präsenz treffen konnte, Wege gefunden hat, trotzdem an gemeinsamen Projekten zu arbeiten.

Aber dies ist nicht der Text, um zu erklären, warum und wie das Projekt begann — dazu gibt es bereits einen anderen.
Dies, meine Damen und Herren, ist der Text, der das…


Der Angriff auf die Colonial Pipeline: Was wir wissen und was wir lernen können

Wenn Sie den letzten Monat nicht auf einer einsamen Insel verbracht haben, hatten Sie wahrscheinlich wenig Chance, drumherumzukommen: Colonial, der Betreiber der größten Pipeline der USA, ist Opfer eines Ransomware-Angriffs geworden. Wir sortieren das mal:

Was ist eigentlich passiert?

Das Office-IT-Netzwerk (nicht das OT-Netzwerk) von Colonial ist Anfang Mai mit Ransomware infiziert worden. Die OT-Systeme waren also von der Ransomware selbst nicht betroffen. Colonial hat daraufhin aber trotzdem eigentlich nicht betroffene Systeme im OT-Netzwerk heruntergefahren, und damit den Betrieb der Pipeline.

War es ein OT-Security-Angriff? Oder: Warum genau hat Colonial die Pipeline außer Betrieb genommen?

Diese Tatsache hat Fragen aufgeworfen: Warum hat Colonial die Pipeline genau abgeschaltet? …


IDEAS project: Integrated Data Models for the Engineering of Automation Security

Automation engineers are familiar with this problem: They are often not allowed to start engineering the control system, controllers and fieldbuses until all the other trades — electrical planning, mechanics, process engineering, for example — have already made crucial decisions.
Security engineering has the same problem, only one step later: It only begins when the automation engineers have also finished, or even after the plant has been commissioned.

This is not quite what security by design looks like.

Security? That’ s what the others do…

One reason: For automation engineers, security is usually what the IT department does. The spoilsport discipline, which always comes up with unrealistic…


BMBF-Projekt IDEAS: Integrated Data Models for the Engineering of Automation Security

Automatisierungsingenieure kennen das Problem: Sie dürfen mit dem Engineering von Leitsystem, Steuerung und Feldbussen oft erst dann beginnen, wenn alle anderen Gewerke — Elektroplanung, Mechanik, Verfahrenstechnik etwa — schon wegweisende Entscheidungen getroffen haben.
Security Engineering hat das gleiche Problem, nur noch einen Schritt später: Es beginnt oft erst dann, wenn auch die Automatisierungsingenieure fertig sind, oder sogar erst nach der Inbetriebnahme der Anlage.

Security by Design sieht anders aus.

Security? Machen die anderen…

Eine Ursache: Für Automatisierer ist Security immer noch oft das, was die IT-Abteilung macht. Die Spielverderberdisziplin, von der ständig unrealistische Anforderungen kommen (Zwei-Faktor-Authentifizierung? Junge, die in der Leitwarte schauen sowieso laufend…


Eine Annäherung

Autoren: Johannes Frick, Heiko Rudolph, Sarah Fluchs.
Dieser Beitrag ist am 11. Februar 2021 auf
ibf-solutions.com erschienen.

If it’s not secure, it’s not safe”, also etwa “ohne Security keine Produktsicherheit (Safety)” — auf diesen kurzen Satz wird das Thema Security für die Maschinensicherheit oder die Sicherheit von elektrischen Geräten gern eingedampft. Für Hersteller von technischen Produkten bedeutet dies, dass neben den explizit in EU-Richtlinien (z.B. Maschinenrichtlinie, Niederspannungsrichtlinie, etc.) genannten Safety-Anforderungen auch Aspekte der Security relevant sind, um den Anforderungen an sichere Produkte gerecht zu werden.

Doch was ist nun der genaue Unterschied zwischen „Safety“ und „Security“? Während die Safety Menschen…


Two perspectives, shared objectives

A crash course on how to do security and safety, a sneak peek into the future of security and safety risk assessments — and a reflection on where standardization (ISA TR 84.00.09 and IEC TR 63069) is moving.

Emergence

May I introduce you to a term that‘s very helpful in understanding the nature of the security and safety problems? It’s called emergence.

Emergence is „the magic that happens when a system comes together“. Or, more formally: If we define a system as a set of entities and their relationships, emergence is what happens on top. …


as a Submodel of the Digital Twin

In an earlier blog post [1], I wished we had a common model for security, something that is to security engineers what P&I diagrams are to process engineers. Something that our minds could “walk around in” to better understand our systems, assumptions, risks, and security design choices.

I promised to make a first draft proposal for models to be used in security engineering, which is what I’m doing in this article.

There’s also a pdf version available for download here.

1 Intro

In this article, we’ll be modelling the security engineering workflow based on the Layered Blueprints security engineering procedure model, and…

Sarah Fluchs

Get the Medium app

A button that says 'Download on the App Store', and if clicked it will lead you to the iOS App store
A button that says 'Get it on, Google Play', and if clicked it will lead you to the Google Play store