Da Gebäudeleitsysteme Teil des IoT werden, betrachtet Bruno Johnson den Ansatz, den IP-BLiS in Sachen Sicherheit verfolgt.
Gebäudeleitsysteme sind anfällig für Angriffe, sowohl von innen als auch von außen. Dies bedeutet, dass Gebäudeleitsysteme Sicherheitsrahmen verwenden müssen, die eine Authentifizierung aller Benutzer und aller Geräte durch Überprüfung ihrer Identität und Integrität erfordern.
Gebäude sind in hohem Maße reguliert, was bedeutet, dass von den Verantwortlichen für alle Phasen des Lebenszyklus eines Gebäudes ein hohes Maß an Kompetenz und Verantwortlichkeit verlangt wird. Dies gilt insbesondere für die Gebäudesicherheit, da diese sich direkt auf die Sicherheit des Gebäudes auswirken kann.
IP-BLiS ist sich der Notwendigkeit einer starken Sicherheit bewusst
IP-BLiS ist keine neue Einrichtung, sondern ein Zusammenschluss bestehender Organisationen, die seit 2020 zusammenarbeiten. IP-BLiS ist sich bewusst, dass die Notwendigkeit einer starken Sicherheit für Gebäudeleitsysteme von größter Bedeutung ist. Während IT-Systeme und IT-Fachleute im Bereich der IP-Sicherheit (Internetprotokoll) Schulungen erhalten haben, wurden OT-Systeme und OT-Fachleute in dieser Hinsicht oft übersehen. Darüber hinaus werden die Anforderungen für die Zertifizierung oder die Einhaltung von Rechtsvorschriften in vielen Fällen erst noch festgelegt.
Das U.S. National Institute of Standards and Technology (NIST) bietet beispielsweise eine Anleitung in Form der Reihe NISTIR 8259 an. NISTIR 8259A ist die Core Device Cybersecurity Baseline, die sich auf die technischen Fähigkeiten von Geräten konzentriert, während NIST 8259B nicht-technische Anforderungen wie Dokumentation, Informationsabfragen, Informationsverbreitung sowie Bildung und Bewusstsein abdeckt. In der Zwischenzeit hat die Europäische Kommission (EC) die Anforderung ETSI EN 303 645 veröffentlicht, die sich auf dreizehn Sicherheitskategorien bezieht, wobei der Schwerpunkt auf den technischen Fähigkeiten der Geräte und den nichttechnischen Anforderungen liegt.
Darüber hinaus hat die Europäische Kommission die Richtlinie über Funkanlagen (RED) aktualisiert, die den Rechtsrahmen für die Erteilung der CE-Kennzeichnung bildet. Die Kommission verabschiedete zusätzliche Mandate für die RED, die sich auf Geräte beziehen, die über das Internet kommunizieren können, personenbezogene Daten, Verkehrsdaten oder Standortdaten verarbeiten oder finanzielle Transaktionen abwickeln. Diese Bestimmungen werden am 1. August 2024 verbindlich. In ähnlicher Weise veröffentlichte die US Federal Communications Commission (FCC) im Juni 2021 eine zwölfmonatige Bekanntmachung von Regelungsvorschlägen und eine Bekanntmachung von Untersuchungen mit dem Schwerpunkt auf der Verbesserung der Annahme von bewährten Verfahren im Bereich der Cybersicherheit.
Allgemeine Bestimmungen für die Sicherheit
Die Vorschriften und Anforderungen an die Sicherheit lassen sich auf sieben allgemeine Bestimmungen reduzieren, wie in der folgenden Abbildung dargestellt.
Die allgemeinen Bestimmungen sind wie folgt definiert:
• Geräteidentität – ein eindeutiger Adresswert, der einem Gerät oder Endpunkt zugeordnet ist.
• Gerätekonfiguration – die Möglichkeit, Geräte über logische Schnittstellen zu konfigurieren.
• Datenschutz – die Fähigkeit, ein Gerät und seine gespeicherten Daten kryptografisch zu schützen.
• Logischer Zugang – die Fähigkeit, eine Authentifizierungs- und Identifizierungskonfiguration zu erstellen.
• Software-Update – die Möglichkeit, die Software eines Geräts zu aktualisieren.
• Cybersecurity State Awareness – die Fähigkeit, Ereignisse zu erzeugen, zu überwachen und zu melden.
• Gerätesicherheit – die Fähigkeit, das Gerät während des normalen Betriebs zu sichern.
Berücksichtigung in jeder Phase des Lebenszyklus eines Gebäudes
Neben den oben beschriebenen allgemeinen Sicherheitsvorkehrungen für Geräte muss das Gebäudeleitsystem in der Lage sein, die Inbetriebnahme und Außerbetriebnahme von Geräten zu verwalten. Außerdem ist ein Verfahren für die Meldung von Schwachstellen erforderlich, damit Geräte mit einer festgestellten Sicherheitslücke isoliert und aktualisiert werden können. Ebenso sollten EoL- (End of Life) und EoS- (End of Service) Richtlinien vorhanden sein, um Geräte und Systeme zu behandeln, die von ihren jeweiligen Herstellern nicht mehr unterstützt werden. Daher sollte die Sicherheit in jeder Phase des Lebenszyklus eines Gebäudes berücksichtigt werden.
Natürlich gibt es in vielen Teilen der Welt relativ wenig neu gebaute Infrastruktur. Daher ist davon auszugehen, dass Gebäudeleitsysteme, wie auch IT-Systeme, ständig gewartet und aufgerüstet werden müssen, um die Sicherheit zu gewährleisten. Daher müssen die oben genannten Bestimmungen regelmäßig überprüft werden.
Die Vorteile der Befolgung der IP-BLiS-Empfehlungen
Wie bereits erläutert, beginnt der Gesetzgeber, die Sicherheit für einige Gerätetypen zwingend vorzuschreiben, so dass die Nichteinhaltung dieser Sicherheitsanforderungen zu finanziellen Einbußen und Rufschädigung führen kann. Außerdem könnte eine Sicherheitsverletzung Sekundärschäden verursachen, z. B. im Bereich der Sicherheit.
IP-BLiS hat eine Reihe gemeinsamer bewährter Praktiken für die Gebäudesicherheit festgelegt. Diese bewährten Praktiken decken verschiedene Bereiche der Verwaltung von Gebäudesteuerungsnetzen ab, darunter Geräteadressierung, Diensterkennung, Sicherheit, Unterstützung der physikalischen Schicht und Infrastrukturanforderungen. Diese sind zwar nicht erschöpfend, tragen aber wesentlich dazu bei, die Fachleute in der Baubranche über künftige Veränderungen aufzuklären und zu informieren.
Fazit
Neben dem Bedarf an einer verstärkten Schulung von Fachleuten aus dem Bereich IP und OT im Bereich der Gebäudesicherheit steht die Branche derzeit vor der Herausforderung, dass es einen Flickenteppich von Vorschriften gibt, die in verschiedenen Regionen festgelegt wurden, und dass kaum klare Leitlinien für die Zertifizierung oder Einhaltung der Vorschriften vorhanden sind.
IP-BLiS ist sich bewusst, dass gemeinsame Entscheidungen und bewährte Verfahren ein wesentlicher Bestandteil sind, um komplexere und funktionsreiche Gebäudeautomationssysteme nachhaltig und überschaubar zu machen. Sie hat eine Reihe gemeinsamer bewährter Praktiken im Zusammenhang mit dem IoT und der Gebäudesicherheit skizziert und wird weiterhin Informationen über den Fortschritt von Produkten bereitstellen, die diesen Konzepten folgen, sobald sie auf den Markt kommen.
Dieser Artikel wurde von Bruno Johnson, Chair OCF Marketing & Communications Work Group, für IP-BLiS verfasst.
