Bayer – Sicherer Fernzugriff aus einem Guss

Chemie-, Pharma- und Lebensmittelhersteller sichern daher nicht mehr ausschließlich die funktionale Sicherheit der Anlagen, sondern auch ihre Netzintegrität. Inbetriebnahme ohne persönliche Anwesenheit, Ferndiagnosen und Überwachungsfunktionen vom heimischen Büro aus, wurden nach und nach zum Standard bei Zulieferern und Dienstleistern. Denn der rasche Zugriff von außen sorgte für eine höhere Verfügbarkeit der Anlagen – aber eben auch für unterschiedlichste Zugangsmethoden und Sicherheitskonzepte. Um sinnvolle und kosteneffiziente Geräte und Methoden der IT-Welt in den Prozess-Anlagen zu nutzen, wuchsen die Anwendungen vor allem an den großen Standorten zu einem nahezu unüberschaubaren Dschungel. Für eine Branche, die höchste Ansprüche an die Integrität und Sicherheit der Anlagen stellt, ein zunehmendes Problem.

Einheitliche Lösung gesucht

Ein herausragendes Beispiel, wie die Komplexität verringert und gleichzeitig eine größtmögliche Sicherheit für den Betrieb der Anlagen erreicht werden kann, ist das Unternehmen Bayer. „Vom damaligen CISO ging die Initiative aus, ein OT-Security-Programm aufzusetzen. Das Ziel lautete, Transparenz im Unternehmen darüber herzustellen, wie der Umgang in den einzelnen Bayer-Betrieben bei diesem Thema ist“, sagt Jani Alexander Krämer, Information Technology Security Analyst bei Bayer. Die Kombination aus großem Nutzen für den Betrieb und gleichzeitig hohem Schadpotenzial schob das Thema Fernzugriff nach ganz oben auf die Prioritätenliste. So lautete die zunächst wichtigste Bestrebung des damaligen OT-Security-Programms, eine einheitliche technische Lösung für den Fernzugriff auf Maschinen und Anlagen an den unterschiedlichen Standorten von Bayer zu erarbeiten.

Hintergrund ist, dass viele Betriebe bei Bayer und bedeutende Zulieferer bereits eigene Sicherheitslösungen im Einsatz hatten. Dort, wo der Schwerpunkt der technischen Umsetzung des Fernzugriffs eher auf der Funktionalität statt auf der Sicherheit lag, war die Bereitschaft groß, auf das neue System zu wechseln. „In vielen Fällen war allerdings auch Überzeugungsarbeit notwendig, genua als verpflichtende Standardlösung im Unternehmen zu akzeptieren. Gerade, wenn Lieferanten mit eigenen guten Lösungen gezwungen waren auf genua umzusteigen“, sagt Krämer.

Ein Beispiel für die unterschiedliche Einschätzung betraf das Thema Audit-Trail. „Viele Betriebe arbeiten im GXP- oder GMP-Umfeld. Hier unterliegen wir hohen Anforderungen an die Dokumentation. Wir müssen lückenlos nachweisen, wer zu welchem Zeitpunkt, auf welchem System war und welche Änderung vorgenommen wurde“, ergänzt Carsten Rocks, Global Program Lead „Manufacturing IT Security“. In der CISO-Organisation von Bayer entwickelt er spezielle Security-Controls für die OT-Welt.

Demgegenüber arbeiteten die Zugriffslösungen von Maschinenbauern beispielsweise mit einem gepoolten Backoffice von Drittfirmen. Das führte dazu, dass in einigen Fällen nicht nachvollziehbar war, welcher Operator sich hinter einem Account verbirgt – aus Audit-Perspektive ein nicht akzeptabler Zustand.

Jeder Zugriff bekannt und aufgezeichnet 

Krämer, der bei Bayer eine Art Service-Manager-Rolle einnimmt, sorgte gemeinsam mit dem Service-Dienstleister Atos für die weltweite Implementierung und Bereitstellung der notwendigen Programme, Anpassungen und Schulungen der Mitarbeiter.

„genua war und ist dabei mit seiner technischen Expertise an unserer Seite. Ihr technischer Support springt auf einer Third-Level-Ebene ein, wenn es Probleme mit dem Service gibt, den die Dienstleister nicht lösen können“, erklärt Krämer, bei dem die Koordination und die klassischen Eskalationsthemen liegen.

Heute führt das bei Bayer eingesetzte genua Logging-System dazu, dass Anwender alle Verbindungen nachvollziehen können: So ist jederzeit transparent, wer sich angemeldet hat, zu welchem Zeitpunkt, welche Arbeiten erledigt wurden und wer sie überwacht hat. Die ebenfalls integrierte Aufzeichnungsfunktion wurde sogar auf ausdrücklichen Wunsch der damaligen Bayer-Verantwortlichen entwickelt.

Für genua hat es sich zu einem Unique Selling Point entwickelt, nicht nur Logs aufzuzeichnen, sondern detailliert den eigentlichen Wartungsvorgang. Nach Abschluss der Arbeiten kann das Session Recording ähnlich wie ein Video archiviert werden.

Sichere Updates von außen

Eine zusätzliche Implementierung, die ebenfalls in jüngerer Zeit in enger Zusammenarbeit mit dem Bayer-Team realisiert werden konnte, betrifft den Secure-File-Transfer-Part. Dateien von außerhalb der Organisation zu erhalten, gehört zu den Forderungen, bei denen sich Sicherheitsverantwortlichen die Nackenhaare aufstellen. Dennoch ist es gerade das Erneuern oder Reparieren beispielsweise einer Firmware, das eine Reaktor-Steuerung oder eine Verpackungsmaschine im Handumdrehen wieder flott machen kann. In einem eigenständigen Projekt wurde diese Anforderung adressiert und ein Malware-Scanning etabliert. Nun besteht die Möglichkeit, einen ICAP-Server anzubinden. Er ist Bestandteil der genubox-Sicherheitslösung und prüft Datenverbindungen und Dateien auf Schadsoftware, bevor sie in das Netzwerk gelangen. „Das ist eine hervorragende Erweiterung, die wir auf Basis des Feedbacks der Standorte mit genua planen und dann mithilfe unseres Providers implementieren konnten“, freut sich Rocks. 

Auch wegen der Realisierung solcher Endnutzer-Wünsche ist die Akzeptanz bei Bayer hoch: „Wir bekommen regelmäßig ein gutes Feedback von unseren Anwendern. Dass sich eine fruchtbare Zusammenarbeit entwickelt hat, erkennt man auch daran, dass die Lösung nicht mehr nur für Remote Maintenance eingesetzt wird, sondern auch für interne Administrationen. Auch kommen immer wieder konstruktive Vorschläge, wie man den Service noch erweitern kann und welche zusätzlichen Features hilfreich wären“, sagt Krämer. 

Nahtlose Integration 

„Der Hauptnutzen einer Remote-Maintenance-Lösung ist die Kostenersparnis, da die On-Site-Besuche durch Zulieferer quasi entfallen. Das spart Geld und Zeit und hilft, schnell zu reagieren – wertvoll gerade im Störungsfall, denn niemand muss vor Ort sein“, sagt Krämer. „In diesem Zusammenhang würde ich die gesteigerte Flexibilität ergänzen. An einigen Standorten nutzen Mitarbeiter die Lösung intensiv auch für Zugriffe, wenn sie zum Beispiel im Home Office sind“, sagt Rocks. Die genua-Lösung bietet jedem Bayer-Standort die Wahl, ob der Zugriff beispielsweise über zeitgesteuerten Remote Maintenance eingerichtet wird, oder das Security Approval nur mit Freigabe von innen gewährt wird. Das hängt von der Division ab und ob beispielsweise eine Produktion GMP- oder GXP-Regeln unterliegt, welche Netzsegmentierungen vorgenommen wurden und ob spezielle IT-Lösungen im Einsatz sind. 

Auch bestehende Systeme können genutzt werden. Die Anbindung an Cloud Identity Provider wie Okta oder Azure Active Directory erlaubt die vollständige Integration der genua-Fernwartung in eine zentrale Nutzerverwaltung mit unternehmensüblicher Multifaktor-Authentifizierung. Unternehmen profitieren damit von skalierbaren Mandanten-, Rollen- und Rechte-Konzepten und Nutzer können sich über ihr gewohntes Verfahren authentifizieren.