Suchen

Ein Ansatz für sichere IoT Services Wie geht ganzheitliche IoT Security?

| Autor / Redakteur: Redaktion IoT / Redaktion IoT

Beim Thema IoT die IT Security zu betrachten liegt nahe und ist ein wichtiger Punkt. Es ist aber nur eine von mehreren Sicherheitsebenen die bei Entwicklung und Betrieb von IoT basierten Produkten und Services zu beachten sind. Nur unter Beachtung aller Sicherheitsebenen können sichere IoT Services entwickelt werden.

Firma zum Thema

IoT Security
IoT Security
(Pixabay)

Beim Thema IoT die IT Security zu betrachten liegt nahe und ist ein wichtiger Punkt. Es ist aber nur eine von mehreren Sicherheitsebenen die bei Entwicklung und Betrieb von IoT basierten Produkten und Services zu beachten sind. Nur unter Berücksichtigung aller Sicherheitsebenen können sichere IoT Services entwickelt werden.

Sicherheitsrelevante Ebenen

Ein IoT-Produkt besteht aus mehreren Teilkomponenten, die allesamt sicherheitsrelevant sind. Dies sind:

  • Kommunikation: Bei der Kommunikation über öffentliche Netze (Internet, Mobilfunk) müssen die Sicherheitsvorkehrungen der Kritikalität gerecht werden
  • Rechenzentrum: Nicht jedes Rechenzentrum eignet sich für kritische Anwendungen, die Daten übertragen und Maschinen steuern
  • Software: Absicherung der eingesetzten Softwareprodukte ist die Grundlage einer sicheren IoT Lösung.
  • Betriebsprozesse: Prozesslücken bei Verantwortungsübergang (z.B. von IT zu OT) stellen oft kritische Sicherheitsschwachpunkte dar
  • Menschen: Die meisten durch Menschen verursachten Sicherheitsvorfälle entstehen durch Insider, Tendenz steigend.

Für alle oben genannten Ebenen gibt es bereits Regulierungen und Best Practices aus verschiedenen Branchen. Hervorzuheben sind hierbei sicherlich die Kreditkartenbranche, das Gesundheitswesen und die Energiebranche.

Kommunikation – Der Weg

So ziemlich jeder Plattformbetreiber bietet Schutz vor unbefugten Zugriffen auf die angeschlossenen Geräte und übertragenen Daten. In den meisten Fällen verbirgt sich hierhinter eine technische oder organisatorische Lösung. Die Daten werden zum Beispiel in einem verschlüsselten Kanal übertragen oder die Verbindung kann nur von dem Gerät selbst aufgebaut werden. Oftmals ist es auch ein spezielles Gerät, welches im industriellen Umfeld die Maschine vom Netz abschottet. All diese Dinge sind naheliegend und teilweise auch wirkungsvoll. Man muss sich jedoch im Klaren sein, dass bei solchen Verfahren nicht die Daten selbst sondern nur der Transportkanal verschlüsselt werden. Das bedeutet im Umkehrschluss, dass die Daten an mehreren Stellen unverschlüsselt vorliegen und somit gefährdet sind. Abhilfe schafft hier nur eine End to End Verschlüsselung bei der nur die berechtigten Parteien im Besitz der nötigen Schlüssel sind, um die für sie bestimmten Daten zu entschlüsseln. Ein weiteres, nicht unwichtiges Feature der End to End Verschlüsselung ist die gegenseitige eindeutige Feststellung der Authentizität der miteinander kommunizierenden Partner.
Vorgaben für eine wirkungsvolle Verschlüsselung wurden vor allem im Bereich des Kreditkarten- (z.B. durch PCI), Gesundheits- (z.B. durch Gematik) und Energiewesens (z.B. durch BSI) definiert.

Rechenzentrum – Die Drehscheibe

In nahezu allen Fällen steht im Zentrum einer IoT Anwendung eine Plattform, in der die Daten gesammelt, gespeichert und verarbeitet werden. Das bedeutet aber auch, dass das Rechenzentrum der Ort ist, an dem Daten möglicherweise unverschlüsselt vorliegen und abgegriffen werden können. Daher ist auch hier auf ein hohes Maß von physischen und organisatorischen Sicherheitsmechanismen zu achten. Neben Zugangsbeschränkungen, Videoaufzeichnung und Alarmvorkehrungen muss der Rechenzentrumsbetrieb dafür Sorge tragen, dass alle für alle anfallenden Tätigkeiten erprobte Prozesse definiert sind und diese auch eingehalten werden. Im Umfeld eines Rechenzentrums nach dem „Hey Joe Prinzip“ zu arbeiten mag zwar manchmal schneller zum kurzfristigen Ziel führen, gefährdet aber den gesamten Betrieb. Es sollte also bei der Auswahl des Rechenzentrums darauf geachtet werden, dass die physische und organisatorische Sicherheit vorhanden und am besten sogar zertifiziert ist. Auch im Bereich des Rechenzentrumsbetriebs existieren bereits Vorgaben, Empfehlungen und Regulierungen aus den verschiedenen Branchen. Einige Besipiele wären hier der PCI-DSS (Payment Card Industry Data Security Standard), die Vorgaben des DK (Deutsche Kreditwirtschaft, ehem. Zentraler Kreditausschuss), BSI Grundschutz oder die ISO 2700X.

Software – Das Vehikel

Ist die Software einmal im Einsatz, kann der Betrieb nur noch für den sicheren Betrieb der Software sorgen. Die Sicherheit der Software selbst jedoch muss bereits während der Entwicklung gewährleistet werden. Hierzu gibt es verschiedenste Konzepte, wie ein sicherer Softwareentwicklungsprozess aussehen kann. Weiterhin gibt es Spezifikationen der Anforderungen an die Sicherheit von Software. So definiert der im Kreditkartengeschäft etablierte Standard PCI PA DSS (Payment Card Industry Payment Application Data Security Standard) 14 Grundanforderungen auf gut 80 Seiten. Hierbei handelt es sich um Anforderungen zur Datenspeicherung, Datenverarbeitung, Verschlüsselung und Testverfahren. Ein weiterer Ansatz ist das „Security by Design“ Prinzip, das bei vielen Firmen wie z.B. Microsoft, Apple, Google und Oracle im Einsatz ist. Hierbei wird ein Security Development Lifecycle definiert, der während der Softwareentwicklung durchlaufen wird. Dies bedeutet, dass die Sicherheit eine explizite Anforderung des Entwicklungsprozesses ist und während der gesamten Softwareentwicklungsphase ganzheitliche Sicherheitsmaßnahmen berücksichtigt, umgesetzt und getestet werden.

Betriebsprozesse – Das Fundament

Sauber definierte Prozesse, die von den an der Serviceerbringung beteiligten Parteien auch gelebt werden, sind die Grundlage eines gut organisierten Services. Die Prozesse definieren Handlungsvorgaben, Zuständigkeiten und Dokumentationsanweisungen für alle relevanten Vorfälle und werden im besten Falle durch IT Tools unterstützt. Besondere Sorgfalt ist bei dem Übergang von Verantwortlichkeiten wie z.B. zwischen Softwareentwicklung und Betrieb oder von der IT zur OT erforderlich, da gerade diese Schnittstellen oft Angriffspotential bieten. Auch für die Definition von Prozessen rund um den Servicebetrieb gibt es bereits Standards, derer man sich bedienen kann. Ein weitverbreitetes Beispiel ist hierbei die ITIL V3 (IT Infrastructure Library), die Prozesse, Funktionen und Rollen in einer Sammlung von Best Practice-Vorschlägen definiert. Die ISO/IEC 20000:2005 stellt das daran angelehnte Zertifizierungsmodell dar.

Menschen – Die Nutzer

Die Entwicklung und der Betrieb eines IoT Services entsteht aus der Arbeit vieler Menschen. Somit ist naturgemäß auch das Wissen über die Funktionsweisen, Mechanismen und Absicherungen etwas breiter gestreut. Es gibt also immer eine nicht kleine Anzahl an Insidern, von denen Studien zufolge ein großer Teil der von Menschen verursachten Sicherheitsvorfälle ausgehen. In vielen Fällen geschieht dies nicht etwa aus Bosheit oder krimineller Energie sondern aus Unwissenheit. Vielen Menschen sind die Risiken einer unbedachten Äußerung, eines unsicheren Passwortes oder der Weitergabe von Informationen an Kollegen und Partner einfach nicht bewusst - Und das, obwohl sie in der IT Branche arbeiten. Daher setzen viele Unternehmen mittlerweile auf gezielte, kontinuierliche Schulungsmaßnahmen in den Bereichen Data Safety und Data Security. In manchen Branchen, wie z.B. in der Finanzbranche wird dies von den Regularien sogar gefordert.

Fazit

Jede Sicherheitsebene ist wichtig und muss gemäß den Ansprüchen und Erfordernissen eines Unternehmens implementiert werden. Wirksam werden die Ebenen allerdings erst im Zusammenspiel. Selbst ein gut geschulter Mitarbeiter verrät ggf. nachdem er gekündigt wurde sein Passwort. Ist an dieser Stelle ein Prozess implementiert, der zusammen mit einer Kündigung auch die Passwörter deaktiviert, ist die Gefahr bereits gebannt.

Es ist also wichtig, bei der Einführung eines IoT Services alle Ebenen zu beleuchten und abzuschätzen, welche Sicherheitsebenen selbst und welche ggf. mit Partnern umgesetzt werden können. Der Gedanke des alles selber machen wollens kann, wenn es um Sicherheit geht, ein gefährlicher Gedanke sein.