Für gewöhnlich sind in Unternehmen die Bereiche Informationstechnologie (IT) sowie operationelle bzw. Betriebstechnologie (OT) in getrennten Bereichen angesiedelt. Der Grund dafür liegt vor allem in ihren unterschiedlichen Funktionen: Während sich IT in erster Linie um die Verwaltung, Verarbeitung und den Schutz von (geschäftlichen) Daten kümmert, hat die OT die Kernaufgabe, in industriellen Umgebungen Fertigungs- und Produktionsprozesse sowie die dafür notwendigen Maschinen zu steuern und zu überwachen.
IT-OT-Konvergenz
Unter dem Begriff „IT-OT-Konvergenz“ ist derzeit jedoch ein grundlegender Wandel im Gange, bei dem die beiden bis dato unternehmensintern isolierten IT- bzw. OT-Welten zunehmend verbunden werden. Diese Integration soll primär einen schnellen Datenaustausch zwischen den beiden Systemen ermöglichen. Das heißt, dass Echtzeitdaten aus dem physischen Betrieb (OT) rasch analysiert und von IT-Systemen beeinflusst werden können. Das Ziel dahinter: beschleunigte und verbesserte Entscheidungsfindungs- und Betriebsprozesse, weniger Fehler, optimierte Arbeitsabläufe und mehr maschinelle Autonomie – und letztendlich ein effizienter arbeitendes Unternehmen.
Man unterscheidet dabei drei Arten von IT-OT-Konvergenz: Bei der physikalischen werden OT-Geräte direkt mit IT-Netzwerken verbunden. Die Softwarekonvergenz integriert OT-Daten in IT-Systeme, und bei der organisatorischen Konvergenz werden die Arbeitsabläufe von IT- und OT-Abteilungen zusammengeführt.
Neue Cyberrisiken
Die zunehmende Integration von IT und OT ist ein wichtiger Faktor der Digitalisierung, birgt aber auch neue und erhöhte Cyberrisiken. Die bei dieser Verschmelzung entstehenden neuen Datenzugänge und Verbindungen zwischen den beiden Welten schaffen neue Angriffsflächen für Cyberkriminelle. Eine große Herausforderung sind auch die stark abweichenden Sicherheitsanforderungen an die beiden Systeme: Im Fokus der IT-Sicherheit stehen vor allem der Datenschutz sowie die Gewährleistung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. OT-Sicherheit definiert sich vor allem über die Verfügbarkeit und Zuverlässigkeit industrieller Prozesse sowie über die Sicherheit von Mensch und Umwelt.
Ganzheitliche Sicherheit
Die IT-OT-Konvergenz stellt Unternehmen vor viele neue Herausforderungen bezüglich Sicherheit. Denn nun müssen die Schwachstellen und Risiken beider Umgebungen berücksichtigt werden – und das nicht mehr in einer isolierten, sondern einer ganzheitlichen Sichtweise. Cybersicherheitsstrategien, die das ermöglichen, basieren auf dem Prinzip „Security by Design“, bei dem Sicherheit von Anfang an in alle Produkte und Lösungen integriert wird. Dahinter stehen Sicherheitsrichtlinien, -praktiken und -technologien, die das gesamte Ökosystem eines Unternehmens rund um Daten und industrielle Prozesse umfassen.
Sicherheitslücken
Was klassische OT-Systeme grundlegend von IT-Infrastrukturen unterscheidet, sind die definierten Lebenszyklen. Während OT nicht selten auf Jahrzehnte ausgelegt ist, hat IT wesentlich kürzere Lebenszyklen. Ältere OT-Architekturen können deshalb Probleme bei der Integration moderner Sicherheitsprotokolle erzeugen, was umfassende Upgrades notwendig machen kann, um aktuelle Sicherheitsanforderungen zu erfüllen.
Indirekt mit dem Thema Upgrades bzw. Updates ist noch ein anderes Sicherheitsthema verknüpft: OT-Systeme, die Fertigungs- und Produktionsprozesse mit Maschinen etc. überwachen und steuern, können sich oft keine Stehzeiten für Updates oder digitale Wartungsarbeiten leisten. Denn diese wären mit teils erheblichen betrieblichen und finanziellen Auswirkungen verbunden. Sicherheitsupdates nur während definierter Wartungsintervalle zu machen, hat in einer isolierten OT-Umgebung funktioniert – im Rahmen der IT-OT-Konvergenz kann das aber gefährliche Sicherheitslücken erzeugen.
